Invisi-Shell

¡Oculta tu script de powershell a plena vista! Invisi-Shell evita todas las características de seguridad de Powershell (registro de ScriptBlock, registro de módulos, transcripción, AMSI) mediante el enganche de ensamblados .Net. El enganche se realiza a través de la API de CLR Profiler.

Trabajo en Progreso

Esta es aún una versión preliminar destinada como POC. El código funciona solo en procesos x64 y ha sido probado contra Powershell V5.1.

Uso

• Copia el archivo InvisiShellProfiler.dll compilado desde la carpeta /x64/Release/ junto con los dos archivos por lotes del directorio raíz (RunWithPathAsAdmin.bat y RunWithRegistryNonAdmin.bat) a la misma carpeta.
• Ejecuta cualquiera de los archivos por lotes (depende de si tienes privilegios de administrador local o no)
• Se ejecutará la consola de Powershell. Sal de powershell usando el comando exit (NO CIERRES LA VENTANA) para permitir que el archivo por lotes realice la limpieza adecuada.

Compilación

El proyecto fue creado con Visual Studio 2013. Debes instalar Windows Platform SDK para compilarlo correctamente.

Descripción Detallada

Se puede encontrar más información en la presentación de DerbyCon por Omer Yair (octubre de 2018).

Créditos

• CorProfiler por .NET Foundation
• Eyal Ne'emany
• Guy Franco
• Ephraim Neuberger
• Yossi Sassi
• Omer Yair