• XSS.stack #1 – первый литературный журнал от юзеров форума

Вопрос о ВинДефендер

Отслеживать

Prevoss

CD-диск
Пользователь
Регистрация
09.04.2020
Сообщения
17
Реакции
28
 
m4key сказал(а):
Тебе просто нужен нормальный крипт с обходом wd amsi, если есть монета пиши зделаю =)
Нахера ты его наебываешь? Тебя не смущает, что даже при чистом загрузчике PE файлов, а если речь про AMSI, то предположительно он у тебя на powershell, у тебя конечный бинарь в памяти светиться будет и его авер сожрет при рескане памяти, если файл грязный сам по себе?
 
Пожалуйста, обратите внимание, что пользователь заблокирован
А ничего что я делаю патч amsi.dll умник? и унего стилак который отработает и удалится
 
m4key сказал(а):
А ничего что я делаю патч amsi.dll умник? и унего стилак который отработает и удалится
И как это связано с тем, что я сказал выше? Ну делаешь ты патч, и? Как это прячет его билд стиллера в памяти?
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Ну сделай тесты и посмотри =)
Я тоже использую RedLine и знаю что пишу, а патч amsi.dll это и есть патч сканера памяти.
 
m4key сказал(а):
Ну сделай тесты и посмотри =)
Я тоже использую RedLine и знаю что пишу, а патч amsi.dll это и есть патч сканера памяти.
Делал тесты на metasploit, кобальте. И не раз. Ещё до твоей регистрации тут=)
Патч amsi.dll лишь позволяет не передавать на скан контент скрипта, который хочешь исполнить, в данном случае скрипт PE загрузчика. Но это не скрывает выделенную память с правами на исполнение, ее так же авер успешно сканит, для этого ему интерфейс AMSI не нужен. Простыми словами если, загрузка PE может успешно пройти, powershell скрипт исполнится, и спустя секунду или минуту прилетает детект в памяти. Когда уже завершился powershell сценарий и работает софт, который ты грузишь. Powershell загрузчик может быть чист, именно тут роляет патч AMSI.dll. Но а дальше ты ничего не сделаешь, если сам бинарь, который грузишь, палится в рантайме. Именно по этой причине это нихера не серебряная пуля для беспалевной работы бинарей. И если тебе повезло проскочить по какой-либо причине, это ещё не значит что тема работает безотказно. Ща наобещаешь, потом арбитражи от ТС’а словишь, потому что и сам не знал =)
 
Пожалуйста, обратите внимание, что пользователь заблокирован
m4key сказал(а):
Я тоже использую RedLine и знаю что пишу, а патч amsi.dll это и есть патч сканера памяти
Через AMSI сканируются только скрипты Powershell/VBScript/JScript перед их исполнением и Dotnet-сборки в момент Assembly.Load (Dotnet-фреймворк 4.8). Ничего не мешает антивирусу сканировать память вне зависимости от AMSI.
 
m4key сказал(а):
Ты сделай тесты на Redline о этом человек написал а не о кобе или мете!
какая разница. через Loadpe твой бинарь окажется в контексте powershell.exe, и тут никакой патч и прочее не поможет. Ибо сдампив проц пш там окажется сигнатура твоего редлайна, или по просту по поведению.
Вангую, что патч обходишь через Invoke-Obfuscator поставив 2-3 параметра и пытаешься пихнуть тс.

Не понимаю, че сложно найти кодера который напишет фуд стиллер под Ваши задачи и будет его держать в рантайме и скантайме чистым. Да, будет дороговато, но лучше чем терять 30-40% отстука, это раз, и рекриптить за 50$ при каждом проливе... Ах да, еще смарт, хром алерты. ИМХО такой путь никуда, либо чисто на фарту работа.
 
WhiteDragon сказал(а):
Не понимаю, че сложно найти кодера который напишет фуд стиллер под Ваши задачи и будет его держать в рантайме и скантайме чистым. Да, будет дороговато, но лучше чем терять 30-40% отстука, это раз, и рекриптить за 50$ при каждом проливе... Ах да, еще смарт, хром алерты. ИМХО такой путь никуда, либо чисто на фарту работа.

снова и снова вижу такое мнение, спасибо за совет, наверно туда и рыть буду... потому что я тоже не могу понять, как без исходников мне пытаются почистить ран?)) отключить виндеф и все ав на пк)) ну это уже совсем другая история и реальна ли она в этом сегменте, это врятли )))

а еще так понял, что чтоб чудо произошло, надо дунуть и так дунуть, что аж вд выключиться и ав выключится и не пересамозапуститься и в этот момент должен запуститься билд от реда и все отстучать должно... но так понимаю что это анрил.. хоть и есть даже модули для VM типа они отключают вд, но в последней редакции такого модуля, почему то вд не отключется)
 
Последнее редактирование:
Haunt сказал(а):
Делал тесты на metasploit, кобальте. И не раз. Ещё до твоей регистрации тут=)
Патч amsi.dll лишь позволяет не передавать на скан контент скрипта, который хочешь исполнить, в данном случае скрипт PE загрузчика. Но это не скрывает выделенную память с правами на исполнение, ее так же авер успешно сканит, для этого ему интерфейс AMSI не нужен. Простыми словами если, загрузка PE может успешно пройти, powershell скрипт исполнится, и спустя секунду или минуту прилетает детект в памяти. Когда уже завершился powershell сценарий и работает софт, который ты грузишь. Powershell загрузчик может быть чист, именно тут роляет патч AMSI.dll. Но а дальше ты ничего не сделаешь, если сам бинарь, который грузишь, палится в рантайме. Именно по этой причине это нихера не серебряная пуля для беспалевной работы бинарей. И если тебе повезло проскочить по какой-либо причине, это ещё не значит что тема работает безотказно. Ща наобещаешь, потом арбитражи от ТС’а словишь, потому что и сам не знал =)
Друг, а ты не криптуешь случайно?) Не редлайн, приват стил.
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх