mattifestation/antimalwareblightEsegui codice PowerShell al livello di protezione antimalware-light.
Usa questo modulo PowerShell per eseguire codice PowerShell al livello di protezione antimalware-light. Questo codice è stato evidenziato nel talk REcon Living Off the Walled Garden: Abusing the Features of the Early Launch Antimalware Ecosystem così come al Black Hat USA 2022. Questo modulo deve essere eseguito con privilegi elevati. Lo scopo di questo modulo è evidenziare come la funzionalità anti-manomissione della protezione antimalware-light sia forte solo quanto il driver ELAM del vendor più debole.
Questo è completamente armato grazie all'inclusione dell'eseguibile target MSBuild.exe e del driver ELAM vulnerabile, aswElam.sys che ne consente l'esecuzione al livello di protezione antimalware-light. Entrambi sono file legittimi usati come primitive per ottenere l'esecuzione di codice come processo protetto.
Nonostante aswElam.sys sia un driver I386 (32-bit), funzionerà su qualsiasi architettura del processore poiché viene usato dal kernel solo per leggere i metadati ELAM.
Grazie al team di ricerca di Microsoft Defender per aver collaborato con me su questo problema! In caso di dubbio, se MSRC non risolverà qualcosa perché non è un confine di sicurezza, è comunque molto probabile che al team Defender interessi!
Carica il modulo:
Import-Module .\AntimalwareBlight.psm1
Visualizza le sue funzioni esportate:
Get-Command -Module AntimalwareBlight
Visualizza la guida per le funzioni del modulo:
Get-Help Invoke-AntimalwareLightCommand -Full