BYOSI

- 나만의 스크립트 인터프리터 가져오기

- 신뢰할 수 있는 애플리케이션의 남용을 활용하여, Windows, Mac 또는 Linux 시스템용 호환 스크립트 인터프리터와 악성 소스 코드를 원하는 특정 스크립트 인터프리터 형태로 전달할 수 있습니다. 악성 소스 코드와 신뢰할 수 있는 스크립트 인터프리터가 모두 대상 시스템에 안전하게 기록되면, 해당 신뢰할 수 있는 스크립트 인터프리터를 통해 소스 코드를 실행하기만 하면 됩니다.

PolyDrop

- 위 공격을 수행하기 위해 13개의 스크립팅 언어를 활용합니다.

다음 언어들은 MS-Defender를 포함한 AV 벤더에 의해 완전히 무시됩니다:

• tcl
• php
• crystal
• julia
• golang
• dart
• dlang
• vlang
• nodejs
• bun
• python
• fsharp
• deno

이 모든 언어들은 MS-Defender에 의해 완전히 실행되고 리버스 셸을 설정하는 것이 허용되었습니다. 우리는 PHP와 같은 언어가 '죽은' 언어로 간주된다는 점을 고려할 때 이 목록이 훨씬 더 길다고 가정합니다.

- 현재 대부분의 주류 엔드포인트 탐지 및 대응(EDR) 벤더에서 탐지 불가능합니다.

PHP 파일 유형만 스캔하거나 처리할 수 없는 벤더의 총 수는 14개이며, 아래에 나열되어 있습니다:

• Alibaba
• Avast-Mobile
• BitDefenderFalx
• Cylance
• DeepInstinct
• Elastic
• McAfee Scanner
• Palo Alto Networks
• SecureAge
• SentinelOne (Static ML)
• Symantec Mobile Insight
• Trapmine
• Trustlook
• Webroot

그리고 악성 PHP 스크립트를 정확하게 식별할 수 없는 벤더의 총 수는 54개이며, 아래에 나열되어 있습니다:

• Acronis (Static ML)
• AhnLab-V3
• ALYac
• Antiy-AVL
• Arcabit
• Avira (no cloud)
• Baidu
• BitDefender
• BitDefenderTheta
• ClamAV
• CMC
• CrowdStrike Falcon
• Cybereason
• Cynet
• DrWeb
• Emsisoft
• eScan
• ESET-NOD32
• Fortinet
• GData
• Gridinsoft (no cloud)
• Jiangmin
• K7AntiVirus
• K7GW
• Kaspersky
• Lionic
• Malwarebytes
• MAX
• MaxSecure
• NANO-Antivirus
• Panda
• QuickHeal
• Sangfor Engine Zero
• Skyhigh (SWG)
• Sophos
• SUPERAntiSpyware
• Symantec
• TACHYON
• TEHTRIS
• Tencent
• Trellix (ENS)
• Trellix (HX)
• TrendMicro
• TrendMicro-HouseCall
• Varist
• VBA32
• VIPRE
• VirIT
• ViRobot
• WithSecure
• Xcitium
• Yandex
• Zillya
• ZoneAlarm by Check Point
• Zoner

이를 염두에 두고, PHP 기반 악성코드 식별에 대한 절대적인 부족함을 고려하여, 우리는 식별된 13개 언어 또한 CrowdStrike, Sentinel1, Palo Alto, Fortinet 등을 포함한 이러한 벤더들의 간과 사항이라는 이론을 세웠습니다. 우리는 최소한 Defender가 이러한 명백히 악성인 페이로드를 평문으로 간주한다는 사실을 확인할 수 있었습니다.

면책 조항

유지 관리자로서, 우리는 이 제품의 오용이나 남용에 대해 어떠한 책임도 지지 않습니다. 이 제품은 합법적인 침투 테스트/레드 팀 목적과 교육적 가치를 위해 게시되었습니다. 이 스크립트를 사용하기 전에 거주 국가의 해당 법률을 숙지하고, 사용 중 법을 위반하지 마십시오. 감사합니다. 좋은 하루 보내세요.

편집

모든 기본 선언문을 보고 '이게 뭐야?'라고 궁금해하실 수도 있습니다. 이유가 있습니다; 이 도구는 이후 버전에서 더 모듈식이 되도록 설계되었습니다. 지금은 이 도구를 즐기시고 이슈를 자유롭게 게시해 주세요. 가능한 한 빨리 처리하겠습니다.