danielbohannon/out-fincodedcommandPOC que resalta técnicas de ofuscación utilizadas por actores de amenazas FIN basadas en la funcionalidad de reemplazo de cmd.exe y en las capacidades de invocación de comandos stdin de cmd.exe/powershell.exe.
Out-FINcodedCommand es un script POC compatible con PowerShell v2.0+ diseñado para resaltar varias técnicas de ofuscación utilizadas por actores de amenazas FIN. Las principales técnicas de ofuscación destacadas en esta herramienta son:
El código fuente de Out-FINcodedCommand está alojado en Github, y puedes descargarlo, bifurcarlo y revisarlo desde este repositorio (https://github.com/danielbohannon/Out-FINcodedCommand). Por favor, reporta problemas o solicitudes de características a través del rastreador de errores de Github asociado a este proyecto. (En realidad no -- esto es un POC simple, no un Cadillac con garantía.)
Para instalar:
Invoke-Expression (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/danielbohannon/Out-FINcodedCommand/master/Out-FINcodedCommand.ps1')
Este es un POC simple, por lo que Out-FINcodedCommand es la única función que existe
actualmente. Usa Get-Help Out-FINcodedCommand para ver los parámetros disponibles.
Puedes abordar las capacidades de ofuscación de esta herramienta desde la perspectiva de "camuflar" un comando para que parezca un "netstat -ano" o "ping 8.8.8.8" menos conspicuo (como en la captura de pantalla de ejemplo anterior).
También puedes adoptar otro enfoque: simplemente meter tantas sustituciones confusas de caracteres/cadenas como sea posible para hacer más difícil nuestro trabajo como Defensores.
Por último, no hay soporte para CLI. ¿Por qué? Estoy demasiado ocupado trabajando en proyectos divertidos de detección como para dedicarle tiempo a esto. Esta herramienta está destinada a la educación y no a la armamentización.
DESCARGO DE RESPONSABILIDAD: No uses esta herramienta para el mal. Por favor, usa esta herramienta y su salida de manera responsable y solo en sistemas en los que tengas permiso explícito para acceder y ejecutar código ofuscado.
Out-FINcodedCommand se publica bajo la licencia Apache 2.0.
v1.0 - 2017-07-02