yehia-mamdouh/shell3erPowerShell-basierte Reverse Shell mit Hintergrundaufgabenausführung, Dateiübertragung und dualen Persistenzmechanismen über Registry und Startup-Ordner für Red-Team-Operationen.
Shell3er PowerShell Reverse Shell
Get-RandomProcessName-Funktion
Die Get-RandomProcessName-Funktion generiert einen zufälligen Prozessnamen, indem sie "PS_" mit einer neuen GUID verkettet. Dies wird verwendet, um scheinbar zufällige und einzigartige Prozessnamen zu erzeugen, was die Identifizierung verdächtiger Prozesse erschwert.
Run-BackgroundTask-Funktion
Die Run-BackgroundTask-Funktion akzeptiert einen ScriptBlock und optional einen ProcessName als Parameter. Sie startet dann einen neuen Hintergrundjob mit einem zufälligen Jobnamen, führt den Script-Block aus und ruft die Ausgabe ab. Der Hauptzweck dieser Funktion besteht darin, Aufgaben im Hintergrund auszuführen, ohne das Hauptskript zu beeinträchtigen.
Download- und Upload-Funktionen
Die Download- und Upload-Funktionen dienen der Übertragung von Dateien zwischen dem Client und dem Server. Sie verwenden Base64-Kodierung, um die Dateidaten über das Netzwerk zu übertragen. Fehler, die während des Dateiübertragungsprozesses auftreten, werden an den Client zurückgesendet.
Persistenzmechanismen
Das Skript verwendet zwei verschiedene Methoden, um auf dem Zielsystem Persistenz zu erreichen. Zuerst kopiert es sich selbst in den Ordner "C:\ProgramData" und ändert den Registrierungsschlüssel "HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run", um das Skript bei jeder Benutzeranmeldung zu starten. Zweitens kopiert es das Skript in den Autostart-Ordner des Benutzers, sodass es bei jedem Systemstart ausgeführt wird.
Shell3er wurde manuell auf den folgenden Lösungen getestet: (Checkpoint EDR Version E85.40) (Kaspersky Total Security) (Windows Defender)
Toll! Beiträge sind willkommen und sehr geschätzt. Bitte reichen Sie alles im GitHub-Pull-Requests-Tracker ein. Gemeinsam können wir das noch großartiger machen! 🚀
