BYOSI

BYOSI 以最简单的方式绕过 EDR：完全不触碰它们所挂钩的 API。 原理 我注意到，大多数 EDR 不会扫描脚本文件，只将它们视为纯文本文件。虽然这对它们来说可能是不幸的，但对我们而言却是一个可乘之机。 像驻留内存或线程注入这类炫酷的方法受到严格监控。如果没有由有效证书颁发机构签名的二进制文件，执行几乎不可能。 于是有了 BYOSI（自带脚本解释器）。每个脚本解释器都由其创建者签名，且所有证书均有效。在真实环境中测试后，结果令人惊讶：本仓库中一个经过高度签名的 PHP 脚本，不仅能在 CrowdStrike 和 Trellix 监控的系统上运行，还能建立外部连接而不触发任何 EDR...

PolyDrop

BYOSI - 自带脚本解释器 - 通过滥用受信任的应用程序，可以将兼容的脚本解释器以及恶意源代码（以特定脚本解释器的形式）传送至 Windows、Mac 或 Linux 系统。一旦恶意源代码和受信任的脚本解释器被安全写入目标系统，即可通过该受信任的脚本解释器直接执行所述源代码。 PolyDrop - 利用十三种脚本语言执行上述攻击。 以下语言被包括 MS-Defender 在内的 AV 厂商完全忽略： tcl php crystal julia golang dart dlang vlang nodejs bun python fsharp deno 所有这些语言都被...

PolyDrop - A BYOSI (Bring-Your-Own-Script-Interpreter) Rapid Payload Deployment Toolkit

BYOSI - Bring-Your-Own-Script-Interpreter - Leveraging the abuse of trusted applications, one is able to deliver a compatible script interpreter for a Windows, Mac, or Linux system as well as malicious source code in the form of the specific script interpreter of choice. Once both the malicious...