Merhaba arkadaşlar,
Bugün sizlere PowerShell AMSI Bypass Nasıl Yapılır? Öğreticem.
PowerShell'deki amsi.dll Nedir?
PowerShell çalışırken arka planda bazı güvenlik önlemleri devrededir. Bunlardan biri de AMSI (Antimalware Scan Interface). Microsoft tarafından geliştirilen bu sistem, PowerShell'de çalışan script'leri antivirüs programlarına taratır.
PowerShell herhangi bir komut veya script çalıştırdığında, amsi.dll isimli dinamik bağlantı kitaplığı devreye girer ve bu içeriği analiz için antivirüse gönderir.
Peki Amsi Nasıl Bypass Edilir?
İnternette "amsi bypass" diye arattığınızda karşınıza birçok kaynak çıkacaktır. Bunlardan biri de LİNK sitesidir. Bu sitede birden fazla yöntem bulunuyor, fakat ben bugün size en basit ve sık kullanılan bir yöntemi göstereceğim..
Buradaki sitede 2. yöntem olan powershell'li scripti gördünüz sanırım
Bu kod Orjinal amsı bypass scriptidir:
Böyle bir Hata alıcaksınız peki bu hata nedir?
Bu hata, Windows Defender veya sistemdeki başka bir güvenlik yazılımının PowerShell komutlarını gerçek zamanlı olarak taradığını ve bu komutun “tehlikeli” yani potansiyel olarak zararlı olduğunu algıladığını gösteriyor.
Peki bu kodu nasıl kullanıcaz?
Bu kodu antivirüsler engellemesin diye stringleri düz yazmak yerine şöyle parçaladık:
Şimdi çalıştırıyoruz
Eğer Okuduysanız Teşekkürler. Okumadıysanız canınız sağolsun. iyi günler dilerim.
Bugün sizlere PowerShell AMSI Bypass Nasıl Yapılır? Öğreticem.
PowerShell'deki amsi.dll Nedir?
PowerShell çalışırken arka planda bazı güvenlik önlemleri devrededir. Bunlardan biri de AMSI (Antimalware Scan Interface). Microsoft tarafından geliştirilen bu sistem, PowerShell'de çalışan script'leri antivirüs programlarına taratır.
PowerShell herhangi bir komut veya script çalıştırdığında, amsi.dll isimli dinamik bağlantı kitaplığı devreye girer ve bu içeriği analiz için antivirüse gönderir.
Peki Amsi Nasıl Bypass Edilir?
İnternette "amsi bypass" diye arattığınızda karşınıza birçok kaynak çıkacaktır. Bunlardan biri de LİNK sitesidir. Bu sitede birden fazla yöntem bulunuyor, fakat ben bugün size en basit ve sık kullanılan bir yöntemi göstereceğim..
Buradaki sitede 2. yöntem olan powershell'li scripti gördünüz sanırım
Bu kod Orjinal amsı bypass scriptidir:
Bu kodu direk yönetici olarak açtığınız powershell de çalıştırmaya kalkarsanız.
At line:1 char:1
+ [Ref].Assembly.GetType('System.Management.Automation.AmsiUtils').GetF ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
This script contains malicious content and has been blocked by your antivirus software.
+ CategoryInfo : ParserError:) [], ParentContainsErrorRecordException
+ FullyQualifiedErrorId : ScriptContainedMaliciousContent
Böyle bir Hata alıcaksınız peki bu hata nedir?
Bu hata, Windows Defender veya sistemdeki başka bir güvenlik yazılımının PowerShell komutlarını gerçek zamanlı olarak taradığını ve bu komutun “tehlikeli” yani potansiyel olarak zararlı olduğunu algıladığını gösteriyor.
Peki bu kodu nasıl kullanıcaz?
Bu kodu antivirüsler engellemesin diye stringleri düz yazmak yerine şöyle parçaladık:
Yani stringleri böldük, + ile birleştirdik. Bu sayede antivirüs kodu tanıyamadı. Sonra da bu şekilde kodumuzu oluşturduk.
Şimdi çalıştırıyoruz
Ve başarılı bir şekilde bypass işlemini bitirdik
Eğer Okuduysanız Teşekkürler. Okumadıysanız canınız sağolsun. iyi günler dilerim.
Son düzenleme:
