FullBypass

Una herramienta que evita AMSI (Interfaz de análisis antimalware) y CLM de PowerShell (Modo de lenguaje restringido) y te proporciona un shell inverso de PowerShell en modo FullLanguage.

P.D. Por favor, no lo uses en hacking poco ético y sigue todas las reglas y normativas legales.

Uso:

Primero, descarga el archivo bypass.csproj en la máquina víctima (busca una carpeta con permisos de escritura como C:\Windows\Tasks o C:\Windows\Temp). Después, simplemente ejecútalo con msbuild.exe.

Ejemplo: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\msbuild.exe .\FullBypass.csproj

Después de eso, el código hará 2 cosas.

1. Primero, el código evadirá AMSI utilizando un método de secuestro de memoria y reescribirá algunas instrucciones en la función AmsiScanBuffer. Con la instrucción xor, el argumento de tamaño será 0 y AMSI no podrá detectar futuros scripts y comandos en PowerShell.

2. Finalmente, te pedirá tu IP y puerto para brindarte un shell inverso de PowerShell en modo FullLanguage.

Como puedes ver, obtenemos un shell inverso de PowerShell en modo FullLanguage. Para cargar algunos módulos y no perder FullLanguageMode, utiliza el método .DownloadString y IEX.