
POC che evidenzia le tecniche di offuscamento utilizzate dagli attori della minaccia FIN basate sulla funzionalità replace di cmd.exe e sulle capacità di invocazione di comandi stdin di cmd.exe/powershell.exe

Out-FINcodedCommand è uno script POC PowerShell compatibile con v2.0+ progettato per evidenziare diverse tecniche di offuscamento utilizzate dagli attori delle minacce FIN. Le principali tecniche di offuscamento evidenziate in questo strumento sono:
Il codice sorgente di Out-FINcodedCommand è ospitato su Github, e puoi scaricarlo, forkarlo e revisionarlo da questo repository (https://github.com/danielbohannon/Out-FINcodedCommand). Segnala problemi o richieste di funzionalità attraverso il bug tracker di Github associato a questo progetto. (Non proprio – questo è un semplice POC, non una Cadillac con garanzia.)
Per installare:
Invoke-Expression (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/danielbohannon/Out-FINcodedCommand/master/Out-FINcodedCommand.ps1')
Questo è un semplice POC, quindi Out-FINcodedCommand è l'unica funzione attualmente
esistente. Usa Get-Help Out-FINcodedCommand per vedere i parametri disponibili.
Puoi affrontare le capacità di offuscamento di questo strumento dalla prospettiva di "mimetizzare" un comando per farlo sembrare un meno sospetto "netstat -ano" o "ping 8.8.8.8" (come nell'esempio dello screenshot sopra).
Puoi anche adottare un altro approccio: stipare quante più sostituzioni di caratteri/stringhe confuse possibile per rendere il nostro lavoro di Difensori più difficile.

Infine, non esiste supporto per la riga di comando. Perché? Sono troppo impegnato a lavorare su progetti divertenti di rilevamento per dedicarmi a questo. Questo strumento è pensato per l'educazione e non per l'armamento.
DICHIARAZIONE DI NON RESPONSABILITÀ: Non usare questo strumento per scopi malvagi. Per favore, usa questo strumento e il suo output in modo responsabile e solo su sistemi per i quali hai esplicita autorizzazione ad accedere ed eseguire codice offuscato.
Out-FINcodedCommand è rilasciato sotto licenza Apache 2.0.
v1.0 - 2017-07-02