danielbohannon/out-fincodedcommandPOC, das die von FIN-Bedrohungsakteuren verwendeten Verschleierungstechniken hervorhebt, basierend auf der replace-Funktionalität von cmd.exe und den stdin-Befehlsaufruffähigkeiten von cmd.exe/powershell.exe.
Out-FINcodedCommand ist ein PowerShell v2.0+-kompatibles PowerShell POC-Skript, das entwickelt wurde, um mehrere Verschleierungstechniken hervorzuheben, die von FIN-Bedrohungsakteuren verwendet werden. Die primären Verschleierungstechniken, die in diesem Tool hervorgehoben werden, sind:
Der Quellcode von Out-FINcodedCommand wird auf Github gehostet, und Sie können ihn aus diesem Repository herunterladen, forken und überprüfen (https://github.com/danielbohannon/Out-FINcodedCommand). Bitte melden Sie Probleme oder Funktionswünsche über den Bug-Tracker von Github, der mit diesem Projekt verbunden ist. (Eigentlich nicht – dies ist ein einfacher POC, kein Cadillac mit Garantie.)
To install:
Invoke-Expression (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/danielbohannon/Out-FINcodedCommand/master/Out-FINcodedCommand.ps1')
Dies ist ein einfacher POC, daher ist Out-FINcodedCommand die einzige Funktion, die derzeit existiert. Verwenden Sie Get-Help Out-FINcodedCommand, um die verfügbaren Parameter anzuzeigen.
Sie können die Verschleierungsfähigkeiten dieses Tools aus der Perspektive des 'Einfügens' eines Befehls betrachten, um wie ein weniger auffälliges 'netstat -ano' oder 'ping 8.8.8.8' auszusehen (wie im obigen Beispiel-Screenshot).
Sie können auch einen anderen Ansatz wählen, um einfach so viele verwirrende Zeichen-/Zeichenkettenersetzungen wie möglich hineinzupacken, um unsere Arbeit als Verteidiger herausfordernder zu machen.
Schließlich gibt es keine Unterstützung für die CLI. Warum? Ich bin zu beschäftigt damit, an unterhaltsamen Erkennungsprojekten zu arbeiten, um Zeit dafür aufzuwenden. Dieses Tool ist für Bildungszwecke gedacht und nicht für die Bewaffnung.
HAFTUNGSAUSSCHLUSS: Verwenden Sie dieses Tool nicht für böswillige Zwecke. Bitte verwenden Sie dieses Tool und seine Ausgaben verantwortungsvoll und nur auf Systemen, auf denen Sie ausdrückliche Erlaubnis haben, auf verschlüsselten Code zuzugreifen und ihn auszuführen.
Out-FINcodedCommand wird unter der Apache 2.0-Lizenz veröffentlicht.
v1.0 - 2017-07-02