Out-FINcodedCommand は、PowerShell v2.0 以降に対応した PowerShell POC スクリプトであり、FIN 脅威アクターが使用するいくつかの難読化手法を強調するために設計されています。このツールで重点的に扱う難読化手法は以下の通りです。
Out-FINcodedCommand のソースコードは Github で公開されており、このリポジトリ (https://github.com/danielbohannon/Out-FINcodedCommand) からダウンロード、フォーク、レビューできます。問題や機能リクエストは、このプロジェクトに関連する Github のバグトラッカーを通じて報告してください。（実際にはそうではありません – これはシンプルな POC であり、保証付きの高級車ではありません。）
インストール方法:
Invoke-Expression (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/danielbohannon/Out-FINcodedCommand/master/Out-FINcodedCommand.ps1')
これはシンプルな POC であり、現在存在する関数は Out-FINcodedCommand のみです。利用可能なパラメータを確認するには Get-Help Out-FINcodedCommand を使用してください。
このツールの難読化機能は、コマンドを「目立たない 'netstat -ano' や 'ping 8.8.8.8' のように偽装する」という観点からアプローチできます（上のスクリーンショットの例のように）。
また、できるだけ多くの紛らわしい文字/文字列置換を詰め込み、防御側の作業をより困難にするという別のアプローチも取れます。
最後に、CLI のサポートはありません。なぜか？ 私はこれに時間を費やすよりも、楽しい検出プロジェクトに取り組むのに忙しいからです。このツールは教育目的であり、武器化のためのものではありません。
免責事項: このツールを悪用しないでください。このツールとその出力は責任を持って使用し、明示的な許可を得たシステム上でのみ難読化コードを実行してください。
Out-FINcodedCommand は Apache 2.0 ライセンスの下で公開されています。
v1.0 - 2017-07-02