AntimalwareBlight

Используйте этот модуль PowerShell для выполнения кода PowerShell на уровне защиты antimalware-light. Этот код был освещён в докладе Living Off the Walled Garden: Abusing the Features of the Early Launch Antimalware Ecosystem на REcon, а также на Black Hat USA 2022. Этот модуль требует запуска с повышенными привилегиями. Цель модуля — продемонстрировать, что функция защиты от несанкционированного изменения antimalware-light настолько надёжна, насколько слаб ELAM-драйвер самого слабого вендора.

Модуль полностью вооружён благодаря включению целевого исполняемого файла MSBuild.exe и уязвимого ELAM-драйвера aswElam.sys, который разрешает его выполнение на уровне защиты antimalware-light. Оба файла являются легитимными и используются как примитивы для достижения выполнения кода в качестве защищённого процесса.

Примечание

Несмотря на то, что aswElam.sys является драйвером I386 (32-битным), он будет работать на любой архитектуре процессора, поскольку используется ядром только для чтения метаданных ELAM.

Хронология раскрытия

Спасибо команде исследований Microsoft Defender за сотрудничество со мной по этому вопросу! Если есть сомнения: даже если MSRC не станет исправлять что-то, потому что это не является границей безопасности, команда Defender, скорее всего, всё равно очень заинтересована!

• 29 декабря 2021 г.: первичный отчёт в MSRC
• 11 января 2022 г.: MSRC установила, что проблема не соответствует критериям обслуживания, поскольку требует прав администратора
• 11 января 2022 г.: я ответил и попросил MSRC обеспечить передачу вопроса команде Microsoft Defender for Endpoint
• июнь 2022 г.: выпущен обезвреженный скрипт вооружения и представлены результаты на Recon и Black Hat USA.
• сентябрь 2026 г.: выпущен полностью вооружённый скрипт. Почти пяти лет ожидания достаточно.

Использование

Загрузите модуль:

Import-Module .\AntimalwareBlight.psm1

Просмотрите его экспортируемые функции:

Get-Command -Module AntimalwareBlight

Просмотрите справку по функциям модуля:

Get-Help Invoke-AntimalwareLightCommand -Full