mattifestation/antimalwareblightتنفيذ كود PowerShell عند مستوى الحماية antimalware-light.
استخدم وحدة PowerShell هذه لتنفيذ شيفرة PowerShell عند مستوى حماية الحماية الخفيفة من البرمجيات الخبيثة. تم تسليط الضوء على هذه الشيفرة في حديث REcon بعنوان Living Off the Walled Garden: Abusing the Features of the Early Launch Antimalware Ecosystem وكذلك في Black Hat USA 2022. تحتاج هذه الوحدة إلى التشغيل بصلاحيات مرتفعة. الغرض من هذه الوحدة هو إبراز أن ميزة منع العبث الخاصة بالحماية الخفيفة من البرمجيات الخبيثة ليست أقوى من أضعف برنامج تشغيل ELAM لدى أي مورّد.
هذه الوحدة مسلّحة بالكامل من خلال تضمين الملف الهدف MSBuild.exe القابل للتنفيذ وبرنامج التشغيل ELAM الضعيف، aswElam.sys، الذي يسمح بتنفيذه عند مستوى حماية الحماية الخفيفة من البرمجيات الخبيثة. كلاهما ملفان شرعيان يُستخدمان كعناصر أولية لتحقيق تنفيذ الشيفرة كعملية محمية.
على الرغم من أن aswElam.sys هو برنامج تشغيل I386 (32 بت)، إلا أنه سيعمل على أي بنية معالج لأنه يُستخدم فقط من قبل النواة لقراءة بيانات ELAM الوصفية.
شكرًا لفريق أبحاث Microsoft Defender على تعاونه معي في هذه المسألة! عند الشك، إذا لم يُصلح MSRC شيئًا لأنه ليس حدودًا أمنية، فمن المرجح أن فريق Defender لا يزال يهتم كثيرًا!
حمّل الوحدة:
Import-Module .\AntimalwareBlight.psm1
اعرض دوالها المصدّرة:
Get-Command -Module AntimalwareBlight
اعرض المساعدة لدوال الوحدة:
Get-Help Invoke-AntimalwareLightCommand -Full