PowerShell para atacantes

O PowerShell vem integrado ao Windows, tem integração profunda com o OS e o .NET e é considerado confiável pelos administradores. Isso faz dele uma ferramenta favorita de uso dos recursos nativos do sistema por invasores — sem necessidade de instalar malware.

Esta lição aborda conceitos de PowerShell ofensivo que você precisa entender para atacar e defender o Windows.

Os comandos do PowerShell são cmdlets no formato Verbo-Substantivo. Eles passam objetos avançados — não apenas texto — pelo pipeline, tornando a enumeração poderosa.

Os invasores usam comandos integrados para examinar rapidamente um host — usuários, serviços, rede e atualizações.

A política de execução restringe a execução de arquivos de script, mas não é um limite de segurança. Muitos parâmetros simples permitem contorná-la, portanto os defensores não devem depender dela.

Uma técnica comum busca uma carga útil e a executa na memória, deixando poucos vestígios no disco. Por isso, o monitoramento da rede e do AMSI é importante.

O parâmetro -EncodedCommand executa PowerShell codificado em Base64, sendo frequentemente usado para ocultar a intenção de uma inspeção casual e de filtros simples.

Os defensores decodificam esses comandos a partir dos registros para revelar o que realmente foi executado.

Os conjuntos de ferramentas maduros baseiam-se nestes recursos básicos:

• PowerSploit / PowerView — enumeração de AD e pós-exploração.
• Empire / Covenant — comando e controle.
• Nishang — scripts ofensivos.

Atualmente, a maioria é amplamente identificada pelas assinaturas das defesas.

Em um domínio, o PowerShell (PowerView ou o módulo de AD) mapeia usuários, grupos e relações de confiança — a base para encontrar um caminho até o administrador do domínio.

A Microsoft adicionou defesas específicas contra o uso indevido do PowerShell:

• AMSI (Interface de Verificação Antimalware) verifica o conteúdo dos scripts antes da execução.
• Registro de Blocos de Script registra o que é executado.
• Modo de Linguagem Restrita limita recursos perigosos.

Os invasores tentam contornar o AMSI; os defensores monitoram os registros.

As equipes de defesa procuram PowerShell malicioso verificando:

• Comandos codificados ou ofuscados.
• Buscas de rede com DownloadString / IEX.
• Processos pai incomuns (o Office iniciando o PowerShell).
• Registros de blocos de script do AMSI e do ID de Evento 4104.

Essas técnicas são poderosas e correspondem diretamente a invasões reais. Execute-as somente em seu próprio laboratório ou com autorização explícita por escrito.

Praticar o lado defensivo — ler registros e identificar ocorrências do AMSI — é tão valioso quanto praticar o lado ofensivo.

Avalie a política de execução como um controle.

Você explorou o PowerShell ofensivo:

• Cmdlets baseados em objetos tornam a enumeração poderosa e discreta (uso dos recursos nativos do sistema).
• Baixar e executar, comandos codificados e estruturas como PowerView/Empire.
• A política de execução não é segurança; AMSI e o registro de blocos de script são as verdadeiras defesas.
• Opere sempre de forma ética e estude o lado defensivo.

Isso conclui o curso de Fundamentos Internos do Windows.