dylandavis1/dscourierOutil de preuve de concept exploitant l'API COM WinGet Configuration pour appliquer des configurations DSC via des binaires signés par Microsoft, permettant le contournement de l'EDR pour les opérations red team.
DSCourier est une preuve de concept qui utilise l'API COM WinGet Configuration pour appliquer des configurations DSC via des binaires signés par Microsoft. Un article de blog séparé fournit l'analyse technique complète de la technique.
DSCourier a été principalement développé dans le cadre d'un sujet de recherche et doit être considéré comme une preuve de concept plutôt que comme un outil abouti ou complet. Une grande partie de sa valeur provient du fait que les opérateurs le modifient, l'étendent et l'expérimentent eux-mêmes, notamment en créant leurs propres fichiers de configuration. Ce projet de recherche a été créé par curiosité et pour le plaisir et ne doit pas être utilisé de manière malveillante.
Cette technique a contourné plusieurs solutions EDR d'entreprise.
Releases contient le binaire DSCourier compilé et les fichiers de support nécessaires à l'exécution sur un système cible.build.ps1 automatise le processus de construction, en compilant le projet et en préparant le binaire.Machine de développement (pour compiler DSCourier à partir des sources) :
net8.0-windows10.0.22621.0Machine cible (pour exécuter le DSCourier.exe compilé) :
winget configure), nécessaire car l'interop utilise Microsoft.Management.Configuration