AntimalwareBlight

使用此 PowerShell 模块可在反恶意软件轻量保护级别执行 PowerShell 代码。该代码曾在 Living Off the Walled Garden: Abusing the Features of the Early Launch Antimalware Ecosystem REcon 演讲以及 Black Hat USA 2022 中被重点介绍。此模块需要以提升权限运行。该模块的目的是揭示反恶意软件轻量保护防篡改功能仅与最薄弱厂商的 ELAM 驱动程序一样强大。

通过包含目标 MSBuild.exe 可执行文件以及允许其在反恶意软件轻量保护级别执行的易受攻击的 ELAM 驱动程序 aswElam.sys，该模块已完全武器化。这两个文件均为合法文件，被用作实现以受保护进程身份执行代码的原始构件。

注意

尽管 aswElam.sys 是 I386（32 位）驱动程序，但它可在任何处理器架构上工作，因为内核仅使用它来读取 ELAM 元数据。

披露时间线

感谢 Microsoft Defender 研究团队与我共同处理此问题！如有疑问，如果 MSRC 因某问题不属于安全边界而拒绝修复，Defender 团队很可能仍然非常关注！

• 2021 年 12 月 29 日：向 MSRC 提交初始报告
• 2022 年 1 月 11 日：MSRC 认定该问题因需要管理员权限而不满足服务标准
• 2022 年 1 月 11 日：我作出回应，并请 MSRC 确保该问题被转交给 Microsoft Defender for Endpoint 团队
• 2022 年 6 月：发布去武器化脚本，并在 Recon 和 Black Hat USA 上展示研究结果。
• 2026 年 9 月：发布完全武器化脚本。等待近五年已是足够长的时间。

用法

加载模块：

Import-Module .\AntimalwareBlight.psm1

查看其导出的函数：

Get-Command -Module AntimalwareBlight

查看模块函数的帮助：

Get-Help Invoke-AntimalwareLightCommand -Full