AntimalwareBlight

Usa questo modulo PowerShell per eseguire codice PowerShell al livello di protezione antimalware-light. Questo codice è stato evidenziato nella presentazione Living Off the Walled Garden: Abusing the Features of the Early Launch Antimalware Ecosystem alla conferenza REcon e anche al Black Hat USA 2022. Questo modulo deve essere eseguito con privilegi elevati. Lo scopo di questo modulo è evidenziare come la funzione anti-manomissione della protezione antimalware-light sia forte quanto il driver ELAM più debole del vendor.

Ringrazio il team di ricerca di Microsoft Defender per aver collaborato con me su questo problema! In caso di dubbio, anche se MSRC non risolve qualcosa perché non è un confine di sicurezza, al team di Defender probabilmente importa ancora moltissimo!

Carica il modulo:

Import-Module .\AntimalwareBlight.psm1

Visualizza le funzioni esportate:

Get-Command -Module AntimalwareBlight

Visualizza la guida per le funzioni del modulo:

Get-Help Invoke-AntimalwareLightCommand -Full

Nota: Invoke-AntimalwareLightCommand non è volutamente completamente armato. Spetta all'utente individuare un driver ELAM eccessivamente permissivo che consenta codice firmato da Microsoft (hash TBS: E17764C39F2AFD7114F8528D2F9783D9A591F6679715EECE730A262CF5CFD3B3)