PowerShell dla atakujących

PowerShell jest wbudowany w system Windows, ściśle zintegrowany z systemem operacyjnym i platformą .NET oraz cieszy się zaufaniem administratorów. Dzięki temu jest ulubionym narzędziem atakujących wykorzystującym living-off-the-land — nie trzeba dostarczać żadnego złośliwego oprogramowania.

Ta lekcja omawia pojęcia związane z ofensywnym PowerShell, które musi Pan rozumieć, aby atakować system Windows i go chronić.

Polecenia PowerShell to cmdlety w formie Czasownik-Rzeczownik. Przekazują w potoku rozbudowane obiekty, a nie tylko tekst, dzięki czemu enumeracja jest bardzo skuteczna.

Atakujący używają wbudowanych cmdletów do szybkiego rozpoznania hosta — użytkowników, usług, sieci i zainstalowanych poprawek.

Zasady wykonywania ograniczają uruchamianie plików skryptów, ale nie stanowią granicy bezpieczeństwa. Można je obejść wieloma prostymi przełącznikami, dlatego obrońcy nie powinni na nich polegać.

Popularna technika polega na pobraniu payloadu i uruchomieniu go w pamięci, dzięki czemu na dysku pozostaje niewiele śladów. Dlatego ważne jest monitorowanie sieci i AMSI.

Przełącznik -EncodedCommand uruchamia polecenia PowerShell zakodowane w Base64. Często wykorzystuje się go do ukrycia zamiaru przed pobieżną analizą i prostymi filtrami.

Obrońcy dekodują je na podstawie dzienników, aby ujawnić, co rzeczywiście zostało uruchomione.

Dojrzałe zestawy narzędzi bazują na tych podstawowych mechanizmach:

• PowerSploit / PowerView — enumeracja AD i działania po uzyskaniu dostępu.
• Empire / Covenant — command-and-control.
• Nishang — skrypty ofensywne.

Większość z nich jest obecnie dobrze rozpoznawana przez mechanizmy ochrony na podstawie sygnatur.

W domenie PowerShell (PowerView lub moduł AD) odwzorowuje użytkowników, grupy i relacje zaufania — stanowi to podstawę do znalezienia ścieżki prowadzącej do uprawnień Domain Admin.

Firma Microsoft dodała zabezpieczenia przeznaczone konkretnie do przeciwdziałania nadużyciom PowerShell:

• AMSI (Antimalware Scan Interface) skanuje zawartość skryptów przed ich wykonaniem.
• Script Block Logging rejestruje uruchamiane polecenia.
• Constrained Language Mode ogranicza dostęp do niebezpiecznych funkcji.

Atakujący próbują omijać AMSI, a obrońcy monitorują dzienniki.

Zespoły blue team wyszukują złośliwe użycie PowerShell, szukając:

• Zakodowanych lub zaciemnionych poleceń.
• Połączeń sieciowych pobierających dane za pomocą DownloadString / IEX.
• Nietypowych procesów nadrzędnych (np. Office uruchamiającego PowerShell).
• Dzienników AMSI i bloków skryptów o identyfikatorze zdarzenia 4104.

Techniki te są potężne i bezpośrednio odpowiadają sposobom przeprowadzania rzeczywistych włamań. Należy uruchamiać je wyłącznie we własnym laboratorium lub za wyraźną pisemną zgodą.

Ćwiczenie strony defensywnej — odczytywanie dzienników i wykrywanie alertów AMSI — jest równie wartościowe jak nauka strony ofensywnej.

Poznał Pan ofensywne zastosowania PowerShell:

• Oparte na obiektach cmdlety sprawiają, że enumeracja jest skuteczna i trudna do wykrycia (living-off-the-land).
• Pobieranie i uruchamianie, zakodowane polecenia oraz frameworki, takie jak PowerView i Empire.
• Zasady wykonywania nie są zabezpieczeniem; rzeczywistą ochronę zapewniają AMSI i rejestrowanie bloków skryptów.
• Należy zawsze działać etycznie i poznawać także stronę defensywną.

To kończy kurs Windows Internals.