PatchlessCLRLoader

PatchlessCLRLoader — это форк InlineExecute-Assembly для загрузки .NET-сборок и перенаправления вывода в mailslot. Я переписал его в автономный загрузчик со следующими реализациями:

• AES-шифрование полезной нагрузки
• Поддержка бесфайловой полезной нагрузки
• Бесшовный обход AMSI и ETW с использованием аппаратных точек останова

Примечание: в настоящее время загрузчик поддерживает установку HWBP только в главном потоке.

Использование аппаратных точек останова для бесшовного обхода имеет множество преимуществ по сравнению с традиционными методами патчинга. Во-первых, это позволяет избегать использования широко известных API, таких как NtProtectVirtualMemory, за которыми пристально следят средства безопасности. Во-вторых, аппаратные точки останова не требуют внесения изменений в файлы, которые могут быть обнаружены системами мониторинга целостности файлов или EDR, что делает подход относительно скрытным.

BOF-версия, портированная из InlineExecute-Assembly https://github.com/VoldeSec/PatchlessInlineExecute-Assembly

Использование

AES-шифрование полезной нагрузки

Выполнение

PatchlessCLRLoader.exe <payload> <key> <arguments>

Локальная полезная нагрузка