AntimalwareBlight

Utilisez ce module PowerShell pour exécuter du code PowerShell au niveau de protection antimalware-light. Ce code a été mis en lumière dans la conférence REcon Living Off the Walled Garden: Abusing the Features of the Early Launch Antimalware Ecosystem ainsi qu'à la Black Hat USA 2022. Ce module doit être exécuté avec des privilèges élevés. L'objectif de ce module est de mettre en évidence le fait que la fonctionnalité anti-altération de la protection antimalware-light n'est aussi solide que le pilote ELAM du fournisseur le plus faible.

Il est entièrement weaponisé par l'inclusion de l'exécutable cible MSBuild.exe et du pilote ELAM vulnérable, aswElam.sys, qui autorise son exécution au niveau de protection antimalware-light. Ce sont tous deux des fichiers légitimes utilisés comme primitives pour obtenir l'exécution de code en tant que processus protégé.

Remarque

Bien que aswElam.sys soit un pilote I386 (32 bits), il fonctionnera sur n'importe quelle architecture de processeur puisqu'il n'est utilisé par le noyau que pour lire les métadonnées ELAM.

Chronologie de la divulgation

Merci à l'équipe de recherche Microsoft Defender pour avoir travaillé avec moi sur ce problème ! En cas de doute, si le MSRC ne corrige pas un problème parce qu'il ne s'agit pas d'une frontière de sécurité, l'équipe Defender s'en soucie probablement encore beaucoup !

• 29 déc. 2021 : Rapport initial au MSRC
• 11 janv. 2022 : Le MSRC a déterminé que le problème ne répondait pas au critère de maintenance puisqu'il nécessite des droits d'administrateur
• 11 janv. 2022 : J'ai répondu et demandé au MSRC de veiller à ce que le problème soit transmis à l'équipe Microsoft Defender for Endpoint
• juin 2022 : Publication du script de weaponisation désarmé et présentation des conclusions à Recon et Black Hat USA.
• sept. 2026 : Publication du script entièrement weaponisé. Près de cinq ans constituent une attente suffisante.

Utilisation

Chargez le module :

Import-Module .\AntimalwareBlight.psm1

Affichez ses fonctions exportées :

Get-Command -Module AntimalwareBlight

Affichez l'aide des fonctions du module :

Get-Help Invoke-AntimalwareLightCommand -Full