Какими только способами не пытался, не получается обойти защитник windows. Ни обфускация powershell, ни loader'ы с github не помогают.
-
XSS.stack #1 – первый литературный журнал от юзеров форума
AV\EDR Cobalt strike, как обойти windows defender?
- Автор темы advokat1
- Дата начала
- Автор темы
- Добавить закладку
- #2
У меня получилось каким-то магическим способом добывать сессию, но через несколько секунд она обрывается. А что сейчас в моде?
1)https://xss.pro/threads/55854/
3)https://xss.pro/threads/53624/
4)https://xss.pro/threads/54418/
Там описывалось в чем дело
Take a look on this:
Maybe does not works everytime, but it will help you!
GitHub - GeorgePatsias/ScareCrow-CobaltStrike: Cobalt Strike script for ScareCrow payloads intergration (EDR/AV evasion)
Cobalt Strike script for ScareCrow payloads intergration (EDR/AV evasion) - GeorgePatsias/ScareCrow-CobaltStrike
github.com
GitHub - mgeeky/RedWarden: Cobalt Strike C2 Reverse proxy that fends off Blue Teams, AVs, EDRs, scanners through packet inspection and malleable profile correlation
Cobalt Strike C2 Reverse proxy that fends off Blue Teams, AVs, EDRs, scanners through packet inspection and malleable profile correlation - mgeeky/RedWarden
github.com
Maybe does not works everytime, but it will help you!
Can you develop what is not enough good in CS ?
снеси его нахрен и все
Minimal Cobalt Strike C2 Profile for Bypassing Defender
Minimal Cobalt Strike C2 Profile for Bypassing Defender - minimal-defender-bypass.profile
gist.github.com
Если это не первоначальный доступ и у тебя есть какой-то шелл на машине и админ привилегии - ты можешь попробовать выключить AMSI(хукнув вызов amsi.dll, или отключить триггер функции с помощью обфусцированных PS команд, дефендер должен молчать в таком случае.) Либо просто вырубить его, либо добавить какую-то папку в исключения(менее палевный способ), но опять же, имея все вышеперечисленное, а в частности - админ права.
Может есть тут кто поможет с вопросом обфускации нагрузки?
Или все нагрузку кидают на чистые пк с отключеным дефом и без AV?)))
Или все нагрузку кидают на чистые пк с отключеным дефом и без AV?)))
Основном да на чистые пк, а при рассылки на почту используют крипт, лоадеры, все зависит от APT группы.