mattifestation/antimalwareblightEjecutar código de PowerShell en el nivel de protección antimalware-light.
Utilice este módulo de PowerShell para ejecutar código PowerShell en el nivel de protección antimalware-light. Este código fue destacado en la charla de REcon Living Off the Walled Garden: Abusing the Features of the Early Launch Antimalware Ecosystem , así como en Black Hat USA 2022. Este módulo debe ejecutarse con privilegios elevados. El propósito de este módulo es destacar cómo la característica anti-manipulación de la protección antimalware-light es tan fuerte como el controlador ELAM del proveedor más débil.
Esto está completamente armado mediante la inclusión del ejecutable objetivo MSBuild.exe y el controlador ELAM vulnerable, aswElam.sys, que permite su ejecución en el nivel de protección antimalware-light. Ambos son archivos legítimos utilizados como primitivas para lograr la ejecución de código como un proceso protegido.
A pesar de que aswElam.sys es un controlador I386 (32 bits), funcionará en cualquier arquitectura de procesador, ya que solo lo utiliza el kernel para leer los metadatos de ELAM.
¡Gracias al equipo de investigación de Microsoft Defender por trabajar conmigo en este problema! En caso de duda, si MSRC no corrige algo porque no es un límite de seguridad, ¡es probable que al equipo de Defender todavía le importe mucho!
Cargue el módulo:
Import-Module .\AntimalwareBlight.psm1
Vea sus funciones exportadas:
Get-Command -Module AntimalwareBlight
Vea la ayuda de las funciones del módulo:
Get-Help Invoke-AntimalwareLightCommand -Full