Invoke-AntiVM v1.0

Введение

Invoke-AntiVM - это набор модулей для обнаружения виртуальных машин и снятия отпечатков (с эксфильтрацией) через Powershell.

Совместимость

Запустите скрипт check-compatibility.ps1, чтобы проверить, какие модули или функции совместимы с версией Powershell. Наша цель — добиться совместимости с версии 2.0, но мы пока этого не достигли. Пожалуйста, запустите check-compability.ps1, чтобы увидеть текущие проблемы совместимости.

Предыстория

Мы написали этот инструмент, чтобы объединить несколько методов обнаружения VM или sandbox-технологий. Он опирается как на сигнатуры, так и на поведенческие сигналы, чтобы определить, является ли хост виртуальной машиной. Модули разделены на логические группы: CPU, Execution,Network,Programs. Пользователь также может решить эксфильтровать отпечаток целевого хоста, чтобы определить, какие функции можно использовать для идентификации песочницы или решения VM.

Назначение

Invoke-AntiVM был разработан для понимания последствий использования обфускации и анти-VM приёмов в полезных нагрузках Powershell. Мы надеемся, что это поможет Red Teams избежать анализа их полезных нагрузок, а Blue Teams — понять, как деобфусцировать скрипт с методами обхода. Вы можете использовать либо главный файл модуля Invoke-AntiVM.psd1, либо отдельные файлы скриптов .ps1, если хотите уменьшить размер.

Использование

Примеры использования приведены в следующих скриптах:

• detect.ps1: это показывает пример скрипта вызова различных тестов
• usage.ps1: показывает базовое использование
• usage_more.ps1: показывает более продвинутые функции
• usage_exfil.ps1: показывает, как эксфильтровать информацию о хосте в виде JSON-документа через pastebin, веб или email
• usage_fingerprint_file.ps1: показывает модуль эксфильтрации и какие данные генерируются в виде JSON-документа
• poc_fingerprint_combined.ps1: показывает модуль снятия отпечатков, используемый против онлайн-песочниц
• output/poc.docm: показывает пример атаки с помощью MS Word с макросом для вызова модуля снятия отпечатков (предварительно загруженного на сервер)

Папка pastebin содержит скрипт на Python:

• full_fingerprints.py — загружает все paste
• decode_pastebins.ps1 — распаковывает и декодирует документы с отпечатками

Убедитесь, что вы используете тот же ключ шифрования, который использовали на этапе эксфильтрации. Папка package показывает, как можно упаковать все скрипты в один файл для лучшей переносимости. Папка pastebin показывает, как автоматически загружать и декодировать эксфильтрованные документы из pastebin.

Установка

Исходный код Invoke-CradleCrafter размещён на Github, и вы можете скачать, форкнуть и просмотреть его из этого репозитория (https://github.com/robomotic/invoke-antivm). Пожалуйста, сообщайте о проблемах или запросах функций через баг-трекер Github, связанный с этим проектом.

Для установки: запустите скрипт install_module.ps1

Лицензия

Invoke-AntiVM выпущен под лицензией Apache 2.0.

Примечания к выпуску

1.0