Desactivar o modificar herramientas de seguridad
Subtécnica de T1562 Debilitar las defensas ↗
Neutralizar el antivirus, AMSI o ETW para que no detecten tus herramientas.
Cómo aparece en Hack The Box
En las máquinas Windows recientes Defender está activo: entiende cómo funciona AMSI y por qué falla tu script antes de buscar un bypass. Lo explicamos sin kits listos para usar.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
Guías
- Cómo detectan los antivirus y EDR en Windows: AMSI, ETW, hooks, AppLocker y CLM explicados 5 min de lectura Qué mira Defender o un EDR al ejecutar una herramienta (firmas, AMSI, ETW, hooks, callbacks del kernel), cómo saber qué protege una máquina y qué son AppLocker y CLM.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Evasión explicada: AMSI, ETW y AppLocker › AMSI
# amsi.dll -> AmsiScanBuffer() -> antivirus. Si devuelve AMSI_RESULT_DETECTED, el host corta la ejecución.'AMSI Test Sample: 7e72c3ce-861b-4339-8740-0ac1484c1386'Es la cadena oficial de prueba de Microsoft (como EICAR). Si PowerShell la bloquea, AMSI funciona. No hace nada.
# Poner a valor no nulo el campo 'amsiInitFailed' por reflexión hace que AMSI se dé por roto y no escanee esa sesión. La firma literal lleva años detectada: hay que ofuscarla.# Sobrescribir el principio de AmsiScanBuffer para que siempre devuelva 'limpio'. Es lo que hace la mayoría de loaders; el EDR vigila justo esa escritura.# AMSI está en el host del script. Ejecutar un binario .NET propio, C o un lenguaje sin integración con AMSI esquiva el problema de raíz.# Aunque saltes AMSI, PowerShell puede registrar el script ya decodificado en el visor de eventos. La evasión real tiene que apagar también ETW (pestaña siguiente).Evasión explicada: AMSI, ETW y AppLocker › ETW
# La técnica pública parchea EtwEventWrite en ntdll para que retorne de inmediato: deja de emitirse telemetría de ese proceso. Como con AMSI, el parche en caliente de ntdll es justo lo que un buen EDR vigila.Phishing explicado: macros, HTA y LNK › Macros de Office
# "Block all Office applications from creating child processes" impide que WINWORD.EXE lance cmd/powershell, que es justo lo que hace la macro.Ningún comando coincide.