
POC mettant en évidence les techniques d'obfuscation utilisées par les acteurs de la menace FIN basées sur la fonctionnalité de remplacement de cmd.exe et les capacités d'invocation de commandes stdin de cmd.exe/powershell.exe

Out-FINcodedCommand est un script POC PowerShell compatible PowerShell v2.0+ conçu pour mettre en évidence plusieurs techniques d'obfuscation utilisées par des acteurs de menace FIN. Les principales techniques d'obfuscation mises en évidence dans cet outil sont :
Le code source de Out-FINcodedCommand est hébergé sur Github, et vous pouvez le télécharger, le forker et l'examiner depuis ce dépôt (https://github.com/danielbohannon/Out-FINcodedCommand). Veuillez signaler les problèmes ou demandes de fonctionnalités via le bug tracker de Github associé à ce projet. (Pas vraiment -- c'est un simple POC, pas une Cadillac avec garantie.)
Pour installer :
Invoke-Expression (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/danielbohannon/Out-FINcodedCommand/master/Out-FINcodedCommand.ps1')
Ceci est un simple POC, donc Out-FINcodedCommand est la seule fonction qui existe actuellement. Utilisez Get-Help Out-FINcodedCommand pour voir les paramètres disponibles.
Vous pouvez aborder les capacités d'obfuscation de cet outil du point de vue de "se fondre" dans une commande pour ressembler à un "netstat -ano" ou "ping 8.8.8.8" moins suspect (comme dans l'exemple de capture d'écran ci-dessus).
Vous pouvez également adopter une autre approche consistant à entasser autant de substitutions de caractères/chaînes déroutantes que possible pour rendre notre travail de Défenseurs plus difficile.

Enfin, il n'y a pas de support pour CLI. Pourquoi ? Je suis trop occupé à travailler sur des projets de détection amusants pour m'y consacrer. Cet outil est destiné à l'éducation et non à l'armement.
AVERTISSEMENT : N'utilisez pas cet outil à des fins malveillantes. Veuillez utiliser cet outil et ses résultats de manière responsable et uniquement sur des systèmes pour lesquels vous avez l'autorisation explicite d'accéder et d'exécuter du code obfusqué.
Out-FINcodedCommand est publié sous la licence Apache 2.0.
v1.0 - 2017-07-02