PowerShell pour les attaquants

PowerShell est intégré à Windows, profondément intégré à l’OS et à .NET, et approuvé par les administrateurs. Cela en fait un outil living-off-the-land privilégié des attaquants : aucun logiciel malveillant à déposer.

Cette leçon présente les concepts de PowerShell offensif que vous devez comprendre pour attaquer et défendre Windows.

Les commandes PowerShell sont des applets de commande sous la forme Verbe-Nom. Elles transmettent des objets riches, et pas seulement du texte, dans le pipeline, ce qui rend l’énumération très puissante.

Les attaquants utilisent les applets de commande intégrées pour examiner rapidement un hôte : utilisateurs, services, réseau et correctifs.

La stratégie d’exécution restreint l’exécution des fichiers de script, mais ne constitue pas une limite de sécurité. De nombreux paramètres simples permettent de la contourner ; les défenseurs ne doivent donc pas s’y fier.

Une technique courante récupère une charge utile et l’exécute en mémoire, en laissant peu de traces sur le disque. C’est pourquoi la surveillance du réseau et d’AMSI est importante.

Le paramètre -EncodedCommand exécute du PowerShell encodé en Base64, souvent pour dissimuler l’intention lors d’une inspection superficielle et contourner les filtres simples.

Les défenseurs décodent ces commandes à partir des journaux pour révéler ce qui a réellement été exécuté.

Des boîtes à outils matures s’appuient sur ces primitives :

• PowerSploit / PowerView : énumération d’AD et post-exploitation ;
• Empire / Covenant : commande et contrôle ;
• Nishang : scripts offensifs.

La plupart sont désormais largement détectés par les défenses au moyen de signatures.

Dans un domaine, PowerShell (PowerView ou le module AD) cartographie les utilisateurs, les groupes et les relations d’approbation, ce qui permet de trouver un chemin vers l’administrateur du domaine.

Microsoft a ajouté des défenses spécifiquement contre l’utilisation abusive de PowerShell :

• AMSI (Antimalware Scan Interface) analyse le contenu des scripts avant leur exécution ;
• la journalisation des blocs de script enregistre ce qui est exécuté ;
• le mode de langage contraint limite les fonctionnalités dangereuses.

Les attaquants tentent de contourner AMSI ; les défenseurs surveillent les journaux.

Les équipes bleues recherchent les activités PowerShell malveillantes en examinant :

• les commandes encodées ou obfusquées ;
• les récupérations réseau via DownloadString / IEX ;
• les processus parents inhabituels (Office lançant PowerShell) ;
• les journaux de blocs de script AMSI et de l’événement ID 4104.

Ces techniques sont puissantes et correspondent directement à des intrusions réelles. Exécutez-les uniquement dans votre propre laboratoire ou avec une autorisation écrite explicite.

Pratiquer l’aspect défensif — lire les journaux et repérer les détections AMSI — est tout aussi utile que l’aspect offensif.

Vous avez exploré le PowerShell offensif :

• Les applets de commande fondées sur des objets rendent l’énumération puissante et discrète (living-off-the-land).
• Téléchargement et exécution, commandes encodées et cadres comme PowerView ou Empire.
• La stratégie d’exécution n’est pas une mesure de sécurité ; AMSI et la journalisation des blocs de script constituent les véritables défenses.
• Agissez toujours de manière éthique et étudiez l’aspect défensif.

Ce cours sur les composants internes de Windows est terminé.