Invoke-AntiVM v1.0

Einleitung

Invoke-AntiVM ist eine Sammlung von Modulen zur VM-Erkennung und Fingerabdruck-Erstellung (mit Exfiltration) über Powershell.

Kompatibilität

Führen Sie das Skript check-compatibility.ps1 aus, um zu überprüfen, welche Module oder Funktionen mit Ihrer PowerShell-Version kompatibel sind. Unser Ziel ist es, Kompatibilität ab Version 2.0 zu erreichen, aber so weit sind wir noch nicht. Bitte führen Sie check-compability.ps1 aus, um die aktuellen Kompatibilitätsprobleme zu sehen.

Hintergrund

Wir haben dieses Tool geschrieben, um mehrere Techniken zur Identifizierung von VM- oder Sandbox-Technologien zu vereinheitlichen. Es basiert sowohl auf Signatur- als auch auf Verhaltenssignalen, um festzustellen, ob ein Host eine VM ist oder nicht. Die Module sind in logische Gruppen eingeteilt: CPU, Ausführung, Netzwerk, Programme. Der Benutzer kann auch entscheiden, einen Fingerabdruck des Zielhosts zu exfiltrieren, um festzustellen, welche Merkmale zur Identifizierung einer Sandbox- oder VM-Lösung verwendet werden können.

Zweck

Invoke-AntiVM wurde entwickelt, um zu verstehen, welche Auswirkungen die Verwendung von Obfuskation und Anti-VM-Tricks in PowerShell-Payloads hat. Wir hoffen, dass dies Red Teams dabei hilft, die Analyse ihrer Payloads zu vermeiden, und Blue Teams dabei, zu verstehen, wie man ein Skript mit Evasion-Techniken deobfusciert. Sie können entweder die Hauptmoduldatei Invoke-AntiVM.psd1 verwenden oder die einzelnen ps1-Skriptdateien, wenn Sie die Größe reduzieren möchten.

Verwendung

Anwendungsbeispiele finden Sie in den folgenden Skripten:

• detect.ps1: Dies zeigt ein Beispielskript, wie die verschiedenen Tests aufgerufen werden können
• usage.ps1: Dies zeigt die grundlegende Verwendung
• usage_more.ps1: Dies zeigt erweiterte Funktionen
• usage_exfil.ps1: Dies zeigt, wie Host-Informationen als JSON-Dokument über Pastebin, Web oder E-Mail exfiltriert werden können
• usage_fingerprint_file.ps1: Dies zeigt das Exfiltrationsmodul und welche Daten in Form eines JSON-Dokuments generiert werden
• poc_fingerprint_combined.ps1: Dies zeigt das Fingerabdruck-Modul, das gegen Online-Sandboxen verwendet wird
• output/poc.docm: Dies zeigt ein Beispiel für einen MS Word-Angriff mit einem Makro, um das Fingerabdruck-Modul aufzurufen (zuvor auf einen Server hochgeladen)

Der Ordner pastebin enthält ein Python-Skript:

• full_fingerprints.py, das alle Pastes herunterlädt
• decode_pastebins.ps1, um die Fingerabdruck-Dokumente zu dekomprimieren und zu dekodieren

Sie müssen sicherstellen, dass Sie denselben Verschlüsselungsschlüssel verwenden, den Sie während des Exfiltrationsschritts verwendet haben. Der Ordner package zeigt, wie Sie alle Skripte zur besseren Portabilität in eine einzelne Datei packen können. Der Ordner pastebin zeigt, wie Sie die exfiltrierten Dokumente von Pastebin automatisch abrufen und dekodieren können.

Installation

Der Quellcode für Invoke-AntiVM wird auf Github gehostet, und Sie können ihn aus diesem Repository herunterladen, forken und überprüfen (https://github.com/robomotic/invoke-antivm). Bitte melden Sie Probleme oder Feature-Wünsche über den Bug-Tracker von Github, der mit diesem Projekt verbunden ist.

Zum Installieren: Führen Sie das Skript install_module.ps1 aus

Lizenz

Invoke-AntiVM wird unter der Apache 2.0-Lizenz veröffentlicht.

Versionshinweise

1.0