AntimalwareBlight

इस PowerShell मॉड्यूल का उपयोग antimalware-light सुरक्षा स्तर पर PowerShell कोड निष्पादित करने के लिए करें। यह कोड Living Off the Walled Garden: Abusing the Features of the Early Launch Antimalware Ecosystem REcon वार्ता तथा Black Hat USA 2022 में रेखांकित किया गया था। इस मॉड्यूल को elevated रूप में चलाने की आवश्यकता है। इस मॉड्यूल का उद्देश्य यह दर्शाना है कि antimalware-light सुरक्षा की anti-tampering सुविधा केवल उतनी ही मज़बूत है जितना कि सबसे कमज़ोर विक्रेता का ELAM ड्राइवर।

यह पूर्ण रूप से weaponized है, क्योंकि इसमें लक्ष्य MSBuild.exe निष्पादन योग्य फ़ाइल तथा कमज़ोर ELAM ड्राइवर, aswElam.sys शामिल हैं, जो इसे antimalware-light सुरक्षा स्तर पर निष्पादित होने की अनुमति देता है। ये दोनों वैध फ़ाइलें हैं जिन्हें संरक्षित प्रक्रिया के रूप में कोड निष्पादन प्राप्त करने के लिए primitives के रूप में उपयोग किया जाता है।

नोट

aswElam.sys के I386 (32-bit) ड्राइवर होने के बावजूद, यह किसी भी प्रोसेसर आर्किटेक्चर पर काम करेगा क्योंकि इसका उपयोग केवल kernel द्वारा ELAM मेटाडेटा पढ़ने के लिए किया जाता है।

प्रकटीकरण समयरेखा

इस मुद्दे पर मेरे साथ काम करने के लिए Microsoft Defender अनुसंधान टीम को धन्यवाद! संदेह की स्थिति में, यदि MSRC किसी चीज़ को इसलिए ठीक नहीं करेगा क्योंकि यह सुरक्षा सीमा नहीं है, तो भी Defender टीम को वास्तव में बहुत परवाह है!

• 29 दिसंबर, 2021: MSRC को प्रारंभिक रिपोर्ट
• 11 जनवरी, 2022: MSRC ने निर्धारित किया कि यह servicing बार को पूरा नहीं करता क्योंकि इसके लिए admin आवश्यक है
• 11 जनवरी, 2022: मैंने उत्तर दिया और MSRC से अनुरोध किया कि यह सुनिश्चित किया जाए कि मुद्दा Microsoft Defender for Endpoint टीम को भेजा जाए
• जून 2022: defanged weaponization स्क्रिप्ट जारी की और Recon तथा Black Hat USA में निष्कर्ष प्रस्तुत किए।
• सितंबर 2026: पूर्ण रूप से weaponized स्क्रिप्ट जारी की। लगभग पाँच वर्ष प्रतीक्षा करने के लिए पर्याप्त समय है।

उपयोग

मॉड्यूल लोड करें:

Import-Module .\AntimalwareBlight.psm1

इसके exported फ़ंक्शन देखें:

Get-Command -Module AntimalwareBlight

मॉड्यूल के फ़ंक्शन के लिए सहायता देखें:

Get-Help Invoke-AntimalwareLightCommand -Full