‫OK, jusqu'à présent, nous avons vu comment contourner à peu près tous les programmes antivirus utilisant Empire et l'extrême
‫droite.
‫Le seul problème est que nous étions toujours détectés par un ou deux programmes antivirus.
‫Le résultat n'était donc pas parfait.
‫Maintenant, la chose cool à propos de la porte dérobée de chauve-souris est générée avec Empire, et l'extrême droite est que le
‫code qu'il contient est dos et code PowerShell.
‫Nous pouvons donc littéralement les ouvrir à l'aide d'un éditeur de texte normal et nous pourrons modifier
‫ce code afin que les portes dérobées soient un peu plus uniques que les portes dérobées par défaut générées à l'aide de
‫ces programmes.
‫Et j'espère que leur signature sera différente des autres portes dérobées générées à l'aide d'Empire et
‫de l'extrême droite.
‫Et par conséquent, nous devrions pouvoir contourner davantage de programmes antivirus.
‫Maintenant, nous ne pouvons pas ouvrir la porte dérobée générée avec utilisera dans un éditeur de texte car ils généreront des portes dérobées
‫ICSI.
‫Et si nous les ouvrons à l'aide d'un éditeur de texte, nous n'obtiendrons que du charabia.
‫Donc, ce que je vais faire maintenant, c'est que je vais juste aller là où j'ai commencé ma
‫porte dérobée, c'est-à-dire que je vais simplement cliquer sur la barre de navigation et aller à VAR w WW hash HTML.
‫Fichiers maléfiques.
‫Et nous avons notre empire et notre combat contre lui.
‫Maintenant, je vais faire cet exemple sur Empire, donc je vais faire un clic droit dessus.
‫Et ouvrez-le avec l'éditeur de texte, comme vous pouvez le voir, si vous ne le voyez pas, continuez simplement
‫à l'ouvrir avec une autre application, puis ouvrez-le avec Lyford.
‫Et comme vous pouvez le voir, nous avons un code qui est réellement lisible et le code ici est littéralement des commandes
‫Windows.
‫Et puis ici, nous avons une commande PowerShell qui va exécuter notre code shell.
‫C'est donc le code shell et comme vous pouvez le voir, il est en fait crypté.
‫Et c'est la partie du code qui nous donnerait une connexion inversée et qui nous permettrait
‫d'accéder ou de pirater l'ordinateur cible.
‫Donc, je ne suis pas un génie, ce que j'ai fait, c'est que je suis arrivé à ce fichier et la première chose que j'ai faite
‫est de tout supprimer du fichier et je n'ai littéralement gardé cette ligne particulière, le code shell.
‫J'ai donc supprimé tout ça.
‫Et ils ont enlevé tout ça.
‫Et puis j'ai téléchargé ceci pour ne pas distribuer juste pour voir si le shellcode est détecté.
‫Si le shellcode est détecté, alors vous devez jouer avec les paramètres, avec les ports,
‫avec le stager que vous utilisez.
‫Donc, jusqu'à ce que vous atteigniez un code shell qui n'est pas détecté, vous ne pouvez donc pas vraiment
‫simplement modifier le code shell ici à partir de l'éditeur de texte car, comme vous pouvez le voir, il est déjà
‫chiffré et déchiffré, puis modifier les paramètres ne fera probablement que casser le retenir.
‫J'ai donc supprimé tout ce dans quoi je l'avais testé, pas le distribuer.
‫Je viens de télécharger le fichier tel quel.
‫Je sais que ce fichier ne fonctionnera pas comme ça, mais je l'ai téléchargé comme ça pour connaître, distribuer
‫et j'ai contourné tous les antivirus.
‫Alors c'est comme, OK, c'est cool.
‫Mon shellcode n'est pas détecté, alors j'annule tout comme je viens de le faire.
‫Et puis j'ai commencé à jouer avec les paramètres un par un.
‫Donc, après avoir fait cela, j'ai littéralement supprimé toute cette ligne, puis j'ai à nouveau testé sans distributeur.
‫J'ai enregistré le fichier téléchargé pour le distribuer.
‫J'ai tout contourné.
‫Alors j'étais comme, OK, c'est plutôt cool, annule.
‫Et j'ai gardé ces deux et j'ai enlevé le reste.
‫Encore une fois, comme parfois littéralement le mot de PowerShell pour déclencher certains programmes antivirus.
‫Donc, ce que j'essayais de faire, c'est que je voulais isoler la partie du code, déclenchant ainsi des programmes antivirus.
‫Donc encore une fois, j'ai supprimé ceci.
‫J'ai encore testé.
‫J'ai encore tout contourné.
‫Encore une fois, j'ai ajouté ce que j'avais, et j'ai continué à le faire jusqu'à ce que j'atteigne littéralement ce point où je viens
‫de mettre mon PowerShell comme ça et je le télécharge et ça fonctionne toujours.
‫Il contourne toujours tous les programmes antivirus.
‫Et je me disais, OK, donc la seule différence ici est la barre oblique B. Ce n'est donc qu'un argument pour la
‫commande.
‫Je supprime ce qui a été téléchargé sur le nœud de distribution et j'ai à nouveau tout contourné.
‫Donc littéralement, si vous téléchargez réellement ce code ici pour ne pas le distribuer, il va tout
‫contourner.
‫Et si vous y ajoutez la barre oblique B, il sera détecté par deux programmes antivirus comme nous l'avons
‫vu auparavant.
‫Donc, ce que j'ai fait, c'est que j'ai gardé cela et j'ai juste ajouté un autre argument juste pour le mélanger et rendre
‫le fichier différent.
‫Il s'agit donc de la barre oblique masculine, qui indique essentiellement à Windows de minimiser la fenêtre contextuelle, afin de
‫ne même pas l'afficher à l'écran.
‫Le but de cette beauté ici est en fait d'empêcher la fenêtre de s'afficher également à l'écran.
‫Vous pouvez donc littéralement supprimer ce B ou ajouter un autre argument ici et ce que cela va faire, cela va
‫changer le code source du fichier.
‫Cela va changer la signature du fichier, et cela va en fait contourner tous les programmes
‫antivirus en ajoutant littéralement juste un argument qui n'affecte pas vraiment l'ensemble du code.
‫Alors téléchargeons à nouveau ce fichier pour ne pas le distribuer juste pour vous prouver qu'il contourne
‫tout.
‫Et voici mon dossier ici.
‫Comme vous pouvez le voir, il vient d'être modifié.
‫Je vais l'ouvrir.
‫Et peut-il?
‫Et comme vous pouvez le voir, il n'est détecté par aucun programme antivirus et il contourne tout.
‫Et encore une fois, nous l'avons littéralement fait sur l'annonce dans un argument de la commande, qui est des hommes à barre
‫oblique.
‫Maintenant, lorsque vous testez en fonction des moments où vous testez, votre porte dérobée par défaut peut en
‫fait tout contourner.
‫Alors peut-être que la porte dérobée que vous créez avec la dernière version d'Empire contourne littéralement
‫tout.
‫Maintenant, le principal point à retenir est que si votre porte dérobée est détectée par trois
‫ou deux programmes antivirus, ouvrez-la et jouez avec les arguments.
‫Mais assurez-vous que la première chose que vous faites est de tester que vous supprimez tout et de tester si ce code shell
‫est détecté.
‫Si le code shell n'est pas détecté, jouez avec ces arguments.
‫Jouez avec en ajoutant des arguments, en supprimant des arguments et en les supprimant littéralement tous et en les ajoutant un
‫par un.
‫Comme je l'ai dit, comme la méthode que j'ai suivie.
‫Et chaque fois que vous ajoutez quelque chose téléchargé à un autre, distribuez et voyez.
‫En faisant cela, vous pourrez isoler quelle partie du code déclenche le programme antivirus,
‫puis vous pourrez le supprimer ou le modifier ou le manipuler de manière à produire une signature différente
‫et donc à contourner programmes antivirus.
‫Maintenant, testons cette porte dérobée car nous avons en fait modifié son code et nous ne savons pas si cela va
‫fonctionner maintenant.
‫Je vais donc aller sur ma machine Windows.
‫Et je vais juste télécharger mon fichier ici.
‫Et je vais le sauver.
‫Et puis je vais l'ouvrir.
‫Et comme vous pouvez le voir, nous avons notre agent, donc si nous allons voir des agents.
‫Et comme vous pouvez le voir, nous avons une connexion avec laquelle nous pouvons interagir.
‫Il suffit de mettre la RCR et la baignoire.
‫Appuyez sur Entrée et nous sommes à l'intérieur, nous avons un accès complet, un contrôle total sur l'ordinateur cible et nous avons
‫contourné tous les programmes antivirus.