Invisi-Shell

Powershell 스크립트를 눈에 띄지 않게 숨기세요! Invisi-Shell은 .Net 어셈블리를 후킹하여 모든 Powershell 보안 기능(ScriptBlock 로깅, Module 로깅, Transcription, AMSI)을 우회합니다. 후킹은 CLR Profiler API를 통해 수행됩니다.

작업 진행 중

아직 POC 목적의 예비 버전입니다. 이 코드는 x64 프로세스에서만 작동하며 Powershell V5.1에서 테스트되었습니다.

사용 방법

• 컴파일된 InvisiShellProfiler.dll을 /x64/Release/ 폴더에서 복사하고, 루트 디렉토리의 두 배치 파일(RunWithPathAsAdmin.bat 및 RunWithRegistryNonAdmin.bat)과 함께 동일한 폴더에 넣습니다.
• 두 배치 파일 중 하나를 실행합니다(로컬 관리자 권한 여부에 따라 다름).
• Powershell 콘솔이 실행됩니다. exit 명령으로 Powershell을 종료하고(창을 닫지 마세요) 배치 파일이 올바르게 정리되도록 합니다.

컴파일

프로젝트는 Visual Studio 2013으로 생성되었습니다. 올바르게 컴파일하려면 Windows 플랫폼 SDK를 설치해야 합니다.

상세 설명

자세한 내용은 Omer Yair의 DerbyCon 프레젠테이션(2018년 10월)에서 확인할 수 있습니다.

크레딧

• CorProfiler by .NET Foundation
• Eyal Ne'emany
• Guy Franco
• Ephraim Neuberger
• Yossi Sassi
• Omer Yair