Invisi-Shell

Verstecke dein PowerShell-Skript in aller Öffentlichkeit! Invisi-Shell umgeht alle PowerShell-Sicherheitsfunktionen (ScriptBlock-Logging, Modul-Logging, Transkription, AMSI) durch Hooking der .NET-Assemblys. Der Hook wird über die CLR Profiler API durchgeführt.

In Arbeit

Dies ist noch eine vorläufige Version, die als POC gedacht ist. Der Code funktioniert nur auf x64-Prozessen und wurde gegen PowerShell V5.1 getestet.

Verwendung

• Kopiere die kompilierte InvisiShellProfiler.dll aus dem Ordner /x64/Release/ zusammen mit den beiden Batch-Dateien aus dem Root-Verzeichnis (RunWithPathAsAdmin.bat & RunWithRegistryNonAdmin.bat) in denselben Ordner.
• Führe eine der Batch-Dateien aus (abhängig davon, ob du lokale Administratorrechte hast oder nicht).
• Die PowerShell-Konsole wird gestartet. Beende PowerShell mit dem Befehl exit (SCHLIESSE DAS FENSTER NICHT), damit die Batch-Datei eine ordnungsgemäße Bereinigung durchführen kann.

Kompilierung

Das Projekt wurde mit Visual Studio 2013 erstellt. Du solltest das Windows Platform SDK installieren, um es korrekt zu kompilieren.

Detaillierte Beschreibung

Weitere Informationen findest du in der DerbyCon-Präsentation von Omer Yair (Oktober 2018).

Danksagungen

• CorProfiler von .NET Foundation
• Eyal Ne'emany
• Guy Franco
• Ephraim Neuberger
• Yossi Sassi
• Omer Yair