itaymigdal/lolspoofUn shell interactivo para falsificar la línea de comandos de algunos LOLBins
LOLSpoof es un programa de shell interactivo que suplanta automáticamente los argumentos de línea de comandos del proceso generado.
Simplemente llama a tu línea de comandos de apariencia incriminatoria LOLBin (p. ej. powershell -w hidden -enc ZwBlAHQALQBwAHIAbwBjAGUA....) y LOLSpoof se asegurará de que la telemetría de creación del proceso parezca legítima y limpia.
Usar solo con LOLBins de 64 bits
La línea de comandos del proceso es una telemetría muy monitorizada, siendo inspeccionada a fondo por AV/EDR, analistas de SOC o cazadores de amenazas.
lolbin.exe " " * sizeof(real arguments)Aunque esta técnica simple ayuda a evadir la detección de la línea de comandos, puede introducir otra telemetría sospechosa:
Compilado con Nim 1.6.12 (¡compilar con Nim 2.X produce errores!)
nimble install winim
Los programas que borran o cambian los mensajes previos impresos en la consola (como timeout.exe 10) rompen el programa. Cuando se emplean dichos comandos, necesitarás reiniciar la consola.
No sé cómo solucionarlo, abierto a sugerencias.