AntimalwareBlight

このPowerShellモジュールを使用すると、マルウェア対策ライト保護レベルでPowerShellコードを実行できます。このコードは、Living Off the Walled Garden: Abusing the Features of the Early Launch Antimalware Ecosystem というREconの講演やBlack Hat USA 2022で取り上げられました。このモジュールは管理者権限で実行する必要があります。このモジュールの目的は、マルウェア対策ライト保護の改ざん防止機能が、最も脆弱なベンダーのELAMドライバーと同じ強度しか持たないことを明らかにすることです。

これは、対象のMSBuild.exe実行ファイルと、その実行をマルウェア対策ライト保護レベルで許可する脆弱なELAMドライバーaswElam.sysを含めることで完全に武器化されています。これらはいずれも、保護されたプロセスとしてコード実行を達成するためのプリミティブとして使用される正規のファイルです。

注記

aswElam.sysはI386（32ビット）ドライバーですが、カーネルがELAMメタデータを読み取るためにのみ使用されるため、あらゆるプロセッサアーキテクチャで動作します。

開示タイムライン

この問題について私と協力してくださったMicrosoft Defenderリサーチチームに感謝します！疑わしい場合でも、MSRCがセキュリティ境界ではないという理由で修正しないものであっても、Defenderチームは依然として非常に気にかけている可能性が高いです！

• 2021年12月29日: MSRCへの初回報告
• 2022年1月11日: MSRCは、管理者権限が必要であるためサービス基準を満たさないと判断
• 2022年1月11日: 私は回答し、この問題がMicrosoft Defender for Endpointチームに引き継がれるようMSRCに依頼
• 2022年6月: 無害化した武器化スクリプトを公開し、ReconおよびBlack Hat USAで調査結果を発表。
• 2026年9月: 完全に武器化したスクリプトを公開。5年近く待てば十分な時間です。

使用方法

モジュールを読み込みます:

Import-Module .\AntimalwareBlight.psm1

エクスポートされた関数を表示します:

Get-Command -Module AntimalwareBlight

モジュールの関数のヘルプを表示します:

Get-Help Invoke-AntimalwareLightCommand -Full