‫OK, até agora, vimos como podemos contornar praticamente todos os programas antivírus usando o Empire e a extrema
‫direita.
‫O único problema é que sempre éramos detectados por um ou dois programas antivírus.
‫Portanto, o resultado não foi perfeito.
‫Agora, o legal sobre a porta dos fundos do bastão é gerada com o Empire, e a extrema direita é que o código neles
‫é o DOS e o código do PowerShell.
‫Portanto, podemos literalmente apenas abri-los usando um editor de texto normal e seremos capazes de modificar
‫esse código para que os backdoors sejam um pouco mais exclusivos do que os backdoors padrão que são gerados usando esses
‫programas.
‫E então, esperançosamente, sua assinatura será diferente das outras backdoors que são geradas usando Empire e
‫a extrema direita.
‫E, portanto, devemos ser capazes de contornar mais programas antivírus.
‫Agora não podemos abrir o backdoor gerado com will use em um editor de texto porque eles irão gerar backdoors
‫ICSI.
‫E se os abrirmos usando um editor de texto, obteremos apenas algo sem sentido.
‫Então, o que vou fazer agora é ir para onde comecei minha porta dos fundos,
‫que é só clicar na barra de navegação e ir para VAR w WW hash HTML.
‫Arquivos do mal.
‫E temos nosso império e nossa luta de volta a ele.
‫Agora vou fazer este exemplo no Empire, então vou clicar com o botão direito nele.
‫E abra-o com o editor de texto, como você pode ver, se você não vê isso, então abra
‫com outro aplicativo e depois abra com o Lyford.
‫E como você pode ver, temos um código que é realmente legível e o código aqui é literalmente comandos do
‫Windows.
‫E aqui temos um comando PowerShell que irá executar nosso código de shell.
‫Portanto, este é o código do shell e, como você pode ver, está realmente criptografado.
‫E esta é a parte do código que nos daria uma conexão reversa e nos permitirá obter acesso
‫ou hackear o computador de destino.
‫Portanto, não sou um gênio, o que fiz foi acessar esse arquivo e a primeira coisa que fiz foi remover tudo
‫do arquivo e literalmente mantive apenas esta linha em particular, o código do shell.
‫Então eu removi tudo isso.
‫E eles removeram tudo isso.
‫E então eu carreguei isso para não distribuir apenas para ver se o código do shell está sendo detectado.
‫Se o shellcode está sendo detectado, então você precisa brincar com os parâmetros, com as portas,
‫com o stager que está usando.
‫Então, até chegar a um código de shell que não foi detectado, você não pode simplesmente modificar o
‫código de shell aqui no editor de texto porque, como você pode ver, ele já está criptografado e descriptografado e,
‫em seguida, modificar os parâmetros provavelmente irá quebrar o espera um pouco.
‫Então eu removi tudo o que testei, não distribuí.
‫Acabei de enviar o arquivo, como está.
‫Sei que este arquivo não vai funcionar assim, mas fiz o upload assim para saber, distribuir
‫e contornei todos os antivírus.
‫Então é tipo, OK, isso é legal.
‫Meu shellcode não está sendo detectado, então eu desfaço tudo como acabei de fazer.
‫E então comecei a brincar com os parâmetros um por um.
‫Então, depois de fazer isso, eu simplesmente removi literalmente toda a linha e testei sem distribuidor novamente.
‫Salvei o arquivo carregado para distribuir.
‫Eu ignorei tudo.
‫Então eu pensei, OK, isso é muito legal, desfazer.
‫E eu guardei esses dois e tirei o resto.
‫Novamente, como às vezes, literalmente, apenas a palavra do PowerShell para acionar alguns programas antivírus.
‫O que eu estava tentando fazer é isolar a parte do código, disparando programas antivírus.
‫Então, novamente, eu apaguei isso.
‫Eu testei novamente.
‫Eu ainda ignorei tudo.
‫Então, novamente, adicionei o que tinha e continuei fazendo isso até chegar literalmente a este ponto em que
‫coloquei meu PowerShell assim e o carreguei e ele ainda funciona.
‫Ele ainda ignora todos os programas antivírus.
‫E eu disse, OK, então a única diferença aqui é a barra B. Portanto, este é apenas um argumento para o
‫comando.
‫Excluí o upload para o nó de distribuição e ignorei tudo novamente.
‫Então, literalmente, se você realmente carregar este código aqui para não distribuir, ele vai ignorar
‫tudo.
‫E se você adicionar a barra B a ele, ele será detectado por dois programas antivírus como
‫vimos antes.
‫Então o que eu fiz foi manter isso e apenas adicionar outro argumento apenas para misturar e fazer o arquivo
‫parecer diferente.
‫Então, isso é barra para frente, que basicamente diz ao Windows para minimizar a janela pop-up, de modo que nem
‫mesmo a mostre na tela.
‫O objetivo dessa beleza aqui, na verdade, é evitar que a janela apareça na tela também.
‫Então você pode literalmente apenas remover este B ou adicionar outro argumento aqui e o que isso vai fazer,
‫vai mudar o código-fonte do arquivo.
‫Isso vai mudar a assinatura do arquivo e, na verdade, vai ignorar todos os programas
‫antivírus, literalmente apenas adicionando um argumento que realmente não afeta todo o código.
‫Então, vamos carregar este arquivo novamente para não distribuir apenas para provar a você que ele está realmente ignorando
‫tudo.
‫E este é meu arquivo bem aqui.
‫Como você pode ver, ele acabou de ser modificado.
‫Eu vou abri-lo.
‫E pode?
‫E como você pode ver, ele está sendo detectado por nenhum programa antivírus e está ignorando tudo.
‫E, novamente, literalmente fizemos isso no anúncio em um argumento para o comando, que é slash men.
‫Agora, quando você está testando dependendo dos momentos em que está testando, sua porta dos fundos padrão pode
‫realmente ignorar tudo.
‫Então, talvez a porta dos fundos que você está criando com a versão mais recente do Empire literalmente ignore
‫tudo.
‫Agora, o ponto principal a tirar disso é se sua porta dos fundos está sendo detectada por
‫três ou dois programas antivírus, abra-a e brinque com os argumentos.
‫Mas certifique-se de que a primeira coisa a fazer é testar a remoção de tudo e testar se esse código de shell está
‫sendo detectado.
‫Se o código do shell não estiver sendo detectado, experimente esses argumentos.
‫Brinque adicionando argumentos, removendo argumentos e literalmente apenas remova-os todos e adicione-os um por
‫um.
‫Como eu disse, como o método que segui.
‫E cada vez que você adicionar algo carregado em outro, distribua e veja.
‫Ao fazer isso, você será capaz de isolar qual parte do código está acionando
‫o programa antivírus, e então você poderá removê-lo ou modificá-lo ou manipulá-lo de uma forma que produza uma
‫assinatura diferente e, portanto, ignore programas antivírus.
‫Agora vamos testar essa porta dos fundos porque realmente modificamos seu código e não temos certeza se isso vai
‫funcionar agora.
‫Vou para minha máquina Windows.
‫E vou apenas baixar meu arquivo aqui mesmo.
‫E vou salvá-lo.
‫E então vou abri-lo.
‫E como você pode ver, temos nosso agente, então se formos para agentes.
‫E como você pode ver, temos uma conexão para que possamos interagir com ela.
‫Basta colocar o CPR e a banheira.
‫Pressione Enter e entraremos, temos acesso total, controle total sobre o computador de destino e contornamos todos
‫os programas antivírus.