__________        __    __              ____  ___                                         __   
\______   \ _____/  |__/  |_  __________\   \/  /____   ____   ___________ ___.__._______/  |_ 
 |    |  _// __ \   __\   __\/ __ \_  __ \     // __ \ /    \_/ ___\_  __ <   |  |\____ \   __\
 |    |   \  ___/|  |  |  | \  ___/|  | \/     \  ___/|   |  \  \___|  | \/\___  ||  |_> >  |  
 |______  /\___  >__|  |__|  \___  >__| /___/\  \___  >___|  /\___  >__|   / ____||   __/|__|  
        \/     \/                \/           \_/   \/     \/     \/       \/     |__|         

BetterXencrypt

Une meilleure version de Xencrypt. Xencrypt est un crypteur de runtime PowerShell conçu pour contourner les antivirus. Comme Xencrypt n'est plus FUD et est facilement détecté par AMSI, j'ai recodé le stub et il est à nouveau FUD. Et l'Xencrypt original, si vous regardez la preuve sur la capture d'écran, il a été testé sur Windows 8, et si je le teste sur le plus récent Windows 10, il n'est pas FUD, c'est pourquoi je veux le rendre à nouveau FUD et rendre tout le monde heureux :D

Cet outil a été testé sur Windows 10 v20H2 avec une charge utile PSH de MSFVenom

Preuve de FUD (si vous ne me croyez pas)

https://www.virustotal.com/gui/file/427c697e11d476f733aaad9fc2ed9dffd8c8b45d84a772c5179d3134d19ac24d/detection

Fonctionnalités

• Contourne AMSI, la surveillance comportementale et tous les antivirus modernes utilisés sur MetaDefender et VirusTotal
• Compresse et crypte les scripts PowerShell
• A une surcharge minimale et souvent même négative (grâce à la compression)
• Plusieurs types de cryptage et de compression
• Randomise les noms de variables pour obscurcir davantage le stub de décryptage
• Très facile à modifier pour créer votre propre variante du crypteur
• Prend en charge la superposition récursive (le crypteur crypte la sortie cryptée), testé jusqu'à 500 couches.
• Prend en charge Import-Module ainsi que l'exécution standard tant que le script d'entrée le supporte aussi
• Toutes les fonctionnalités dans un seul fichier pour que vous puissiez l'emporter partout !

Note

Ne soyez pas un script kiddie, j'ai fait cela sous GPLv3 pour que vous puissiez faire vos propres modifications. Mais oui, je vais continuer à développer cet outil, et si vous ne voulez pas faire vos propres modifications, c'est aussi bien.

Remerciements

• Moi pour ne pas être mort en créant cet outil
• Xentropy et SecForce pour avoir créé l'Xencrypt original
• Ed Wilson alias Microsoft Scripting Guy pour ses superbes tutoriels sur le scripting PowerShell
• Et le dernier est Emeric Nasi pour ses recherches sur le contournement de la dynamique des antivirus

Utilisation

Il est préférable d'exécuter le script BetterXencrypt sur PowerShell Linux, car je ne l'ai jamais essayé sur PowerShell Windows. (Surpris que Linux ait PowerShell ? Jetez un œil à ceci)

Import-Module ./betterxencrypt.ps1
Invoke-BetterXencrypt -InFile invoke-mimikatz.ps1 -OutFile xenmimi.ps1

Vous aurez maintenant un fichier xenmimi.ps1 crypté dans votre répertoire de travail actuel. Vous pouvez l'utiliser de la même manière que le script original, donc dans ce cas :

Import-Module ./xenmimi.ps1
Invoke-Mimikatz

Il prend également en charge la superposition récursive via le drapeau -Iterations.

Invoke-BetterXencrypt -InFile invoke-mimikatz.ps1 -OutFile xenmimi.ps1 -Iterations 100

Attention cependant, les fichiers peuvent devenir gros et la génération du fichier de sortie peut prendre beaucoup de temps en fonction des scripts et du nombre d'itérations demandé.

Liste des choses à faire