SharpKiller

SharpKiller 由 @ZeroMemoryEx 编写、移植到 .NET Framework 4.8 的永久性 AMSI 绕过工具 AMSI-Killer。 需要额外混淆 https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=VirTool:MSIL/SharpKiller.A&ThreatID=2147895059 新增集成功能： x - 每 0.5 秒实时扫描新的 PowerShell 进程 - 自动修补新的 PowerShell 实例 生成解决方案...

Amsi-Killer

永久性 AMSI 绕过 操作码扫描 我们通过搜索每条指令的第一个字节来获取跳转指令的精确地址，即使目标数据集发生更新或修改，此技术依然有效。 例如： | 48:85D2 | test rdx, rdx | | 74 3F | je amsi.7FFAE957C694 | | 48 : 85C9 | test rcx, rcx | | 74 3A | je amsi.7FFAE957C694 | | 48 : 8379 08 00 | cmp qword ptr ds : rcx + 8 , 0 | | 74 33 | je amsi.7FFAE957C694 | 搜索模式将如下所示：...