Invisi-Shell

Esconda seu script PowerShell à vista! O Invisi-Shell contorna todos os recursos de segurança do PowerShell (ScriptBlock logging, Module logging, Transcription, AMSI) ao fazer hook em assemblies .NET. O hook é realizado através da API CLR Profiler.

Trabalho em Andamento

Esta é ainda uma versão preliminar destinada como POC. O código funciona apenas em processos x64 e foi testado contra o PowerShell V5.1.

Uso

• Copie o arquivo InvisiShellProfiler.dll compilado da pasta /x64/Release/ junto com os dois arquivos batch do diretório raiz (RunWithPathAsAdmin.bat e RunWithRegistryNonAdmin.bat) para a mesma pasta.
• Execute um dos arquivos batch (depende se você tem privilégios de administrador local ou não)
• O console do PowerShell será executado. Saia do PowerShell usando o comando exit (NÃO FECHE A JANELA) para permitir que o arquivo batch realize a limpeza adequada.

Compilação

O projeto foi criado com o Visual Studio 2013. Você deve instalar o Windows Platform SDK para compilá-lo corretamente.

Descrição Detalhada

Mais informações podem ser encontradas na apresentação do DerbyCon por Omer Yair (Outubro de 2018).

Créditos

• CorProfiler por .NET Foundation
• Eyal Ne'emany
• Guy Franco
• Ephraim Neuberger
• Yossi Sassi
• Omer Yair