‫OK, finora abbiamo visto come possiamo aggirare praticamente tutti i programmi antivirus utilizzando Empire e l'estrema
‫destra.
‫L'unico problema è che venivamo sempre rilevati da uno o due programmi antivirus.
‫Quindi il risultato non è stato perfetto.
‫Ora la cosa bella della backdoor del pipistrello è generata con Empire, e l'estrema destra è che il codice in
‫esse contenuto è dos e codice PowerShell.
‫Quindi possiamo letteralmente aprirli semplicemente usando un normale editor di testo e saremo in grado di
‫modificare quel codice in modo che le backdoor siano un po' più uniche delle backdoor predefinite che vengono generate usando questi
‫programmi.
‫E poi si spera che la loro firma sarà diversa dalle altre backdoor generate usando Empire
‫e l'estrema destra.
‫E quindi, dovremmo essere in grado di bypassare più programmi antivirus.
‫Ora non possiamo aprire la backdoor generata con will use in un editor di testo perché genereranno backdoor
‫ICSI.
‫E se li apriamo usando un editor di testo, diventeremo senza senso.
‫Quindi quello che farò ora è andare al punto in cui ho iniziato la
‫mia backdoor, ovvero cliccherò sulla barra di navigazione e andrò a VAR w WW hash HTML.
‫File malvagi.
‫E abbiamo di nuovo il nostro impero e la nostra battaglia.
‫Ora farò questo esempio su Empire, quindi farò clic con il pulsante destro del mouse.
‫E aprilo con l'editor di testo, come puoi vedere, se non lo vedi, apri semplicemente
‫con un'altra applicazione e poi aprilo con Lyford.
‫E come puoi vedere, abbiamo un codice che è effettivamente leggibile e il codice qui è letteralmente comandi di
‫Windows.
‫E poi qui abbiamo un comando PowerShell che eseguirà il nostro codice shell.
‫Quindi questo è il codice della shell e, come puoi vedere, in realtà è crittografato.
‫E questa è la parte del codice che ci darebbe una connessione inversa e ci permetterà di accedere
‫o hackerare il computer di destinazione.
‫Quindi non sono un genio, quello che ho fatto è che sono arrivato a questo file e la prima cosa che ho fatto è stata
‫rimuovere tutto dal file e ho letteralmente mantenuto solo questa particolare riga, il codice della shell.
‫Quindi ho rimosso tutto questo.
‫E hanno rimosso tutto questo.
‫E poi ho caricato questo per non distribuire solo per vedere se lo shellcode viene rilevato.
‫Se lo shellcode viene rilevato, devi giocare con i parametri, con le porte, con
‫lo stager che stai utilizzando.
‫Quindi fino a quando non raggiungi un codice shell che non viene rilevato, quindi non puoi
‫semplicemente modificare il codice shell qui dall'editor di testo perché come puoi vedere, è già crittografato e
‫decifrato e quindi la modifica dei parametri probabilmente romperà il trattenere.
‫Quindi ho rimosso tutto ciò in cui l'avevo testato, non distribuirlo.
‫Ho appena caricato il file, così com'è.
‫So che questo file non funzionerà in questo modo, ma l'ho caricato in questo modo per sapere, distribuire e
‫ho bypassato tutti gli antivirus.
‫Quindi è come, OK, è fantastico.
‫Il mio shellcode non viene rilevato, quindi annullo tutto come ho appena fatto.
‫E poi ho iniziato a giocare con i parametri uno per uno.
‫Quindi, dopo averlo fatto, ho letteralmente rimosso l'intera linea e poi ho testato di nuovo senza distributore.
‫Ho salvato il file caricato per distribuirlo.
‫Ho bypassato tutto.
‫Quindi ero tipo, OK, è piuttosto bello, annulla.
‫E ho tenuto questi due e ho rimosso il resto.
‫Ancora una volta, come a volte letteralmente solo la parola di PowerShell per attivare alcuni programmi antivirus.
‫Quindi quello che stavo cercando di fare era isolare la parte del codice, attivando così i programmi antivirus.
‫Quindi, di nuovo, ho cancellato questo.
‫Ho provato di nuovo.
‫Ho ancora bypassato tutto.
‫Quindi, di nuovo, ho aggiunto quello che avevo e ho continuato a farlo fino a quando non ho letteralmente raggiunto questo punto in cui ho
‫appena messo il mio PowerShell in questo modo e lo carico e funziona ancora.
‫Evita ancora tutti i programmi antivirus.
‫E io ero tipo, OK, quindi l'unica differenza qui è la barra in avanti B. Quindi questo è solo un argomento per il
‫comando.
‫Elimino quello caricato sul nodo di distribuzione e ho bypassato di nuovo tutto.
‫Quindi, letteralmente, se carichi questo codice proprio qui per non distribuirlo, ignorerà
‫tutto.
‫E se aggiungi la barra B, verrà rilevato da due programmi antivirus come abbiamo visto
‫prima.
‫Quindi quello che ho fatto è che in realtà ho tenuto questo e ho appena aggiunto un altro argomento solo per confonderlo e far sembrare
‫il file diverso.
‫Quindi questo è l'uomo barra in avanti, che in pratica dice a Windows di ridurre a icona la finestra pop-up, quindi
‫non deve nemmeno mostrarla sullo schermo.
‫Il punto di questa bellezza qui in realtà è impedire che la finestra venga visualizzata anche sullo schermo.
‫Quindi puoi letteralmente semplicemente rimuovere questa B o aggiungere un altro argomento qui e cosa farà, cambierà
‫il codice sorgente del file.
‫Cambierà la firma del file e in realtà ignorerà tutti i programmi antivirus aggiungendo
‫letteralmente solo un argomento che in realtà non influisce sull'intero codice.
‫Quindi carichiamo di nuovo questo file ora per non distribuirlo solo per dimostrarti che in realtà sta aggirando
‫tutto.
‫E questo è il mio file proprio qui.
‫Come puoi vedere, è appena stato modificato.
‫vado ad aprirlo.
‫E può?
‫E come puoi vedere, viene rilevato da zero programmi antivirus e aggira tutto.
‫E ancora, lo abbiamo letteralmente fatto sull'annuncio in un argomento al comando, che è uomini barra in avanti.
‫Ora, quando stai testando in base alle volte in cui stai testando, la tua backdoor predefinita potrebbe
‫effettivamente ignorare tutto.
‫Quindi forse la backdoor che stai creando con l'ultima versione di Empire aggira letteralmente
‫tutto.
‫Ora, il punto principale da trarre da questo è se la tua backdoor viene rilevata da tre
‫o due programmi antivirus, quindi aprila e gioca con gli argomenti.
‫Ma assicurati che la prima cosa che fai è provare a rimuovere tutto e verificare se questo codice shell
‫viene rilevato.
‫Se il codice shell non viene rilevato, gioca con questi argomenti.
‫Gioca aggiungendo argomenti, rimuovendo argomenti e letteralmente rimuovili tutti e aggiungili uno per
‫uno.
‫Come ho detto, come il metodo che ho seguito.
‫E ogni volta che aggiungi qualcosa caricato su un altro, distribuisci e vedi.
‫In questo modo, sarai in grado di isolare quale parte del codice sta attivando il
‫programma antivirus, e quindi sarai in grado di rimuoverlo o modificarlo o manipolarlo in modo tale da produrre una
‫firma diversa e quindi bypassare programmi antivirus.
‫Ora testiamo questa backdoor perché abbiamo effettivamente modificato il suo codice e non siamo sicuri che funzionerà
‫ora.
‫Quindi vado alla mia macchina Windows.
‫E ho intenzione di scaricare il mio file proprio qui.
‫E lo salverò.
‫E poi lo aprirò.
‫E come puoi vedere, abbiamo il nostro agente, quindi se andiamo dagli agenti.
‫E come puoi vedere, abbiamo una connessione in modo da poter interagire con essa.
‫Metti solo CPR e vasca.
‫Premi invio e siamo dentro, abbiamo pieno accesso, pieno controllo sul computer di destinazione e abbiamo bypassato tutti
‫i programmi antivirus.