探秘Chimera：绕过安全防护的PowerShell代码混淆利器

探秘Chimera：绕过安全防护的PowerShell代码混淆利器

在网络安全的世界里，总有那么一些工具，它们的存在既是对安全挑战的回应，也是对技术创新的致敬。Chimera就是这样一款工具，它是一款专门设计用来绕过AMSI（Antivirus Message Signaling Interface）和杀毒软件的PowerShell代码混淆脚本。通过字符串替换和变量拼接等手段，Chimera让恶意的PowerShell脚本能够躲过常规检测，从而在看似无害的环境中悄然运行。

Chimera的工作原理

Chimera的核心功能在于将容易触发安全报警的代码进行拆分和重构造。比如下面这段出自Nishang库中的代码，原本会被25个不同的反病毒引擎识别：

$stream = $client.GetStream()
[byte[]]$bytes = 0..65535|%{0}
...

经过Chimera处理后，这段代码变得难以辨识，同时也能逃过VirusTotal的检测：

  $xdgIPkCcKmvqoXAYKaOiPdhKXIsFBDov = $jYODNAbvrcYMGaAnZHZwE."$bnyEOfzNcZkkuogkqgKbfmmkvB$ZSshncYvoHKvlKTEanAhJkpKSIxQKkTZJBEahFz$KKApRDtjBkYfJhiVUDOlRxLHmOTOraapTALS"()
  ...

Chimera利用transformer函数，将常见关键字和数据类型分割成多个部分，并组合成新的变量，增加了静态分析的难度。

应用场景与优势

Chimera适用于任何需要隐藏PowerShell活动的情景，如渗透测试、隐私保护或恶意软件开发。它的核心价值在于：

1. 对抗AMSI：Chimera的设计目标是规避AMSI，这是Windows系统内置的一种安全机制。
2. 混淆代码：通过复杂的方式重组代码，使其更难被传统防病毒软件识别。
3. 灵活性：允许调整混淆级别，以适应不同环境的需求。
4. 兼容性：已成功应用于多个Nishang脚本，且可以处理未测试的自定义脚本。

使用方法

要使用Chimera，你需要先克隆项目仓库，然后按照提供的说明进行操作。基本的命令行使用示例如下：

./chimera.sh -f shells/Invoke-PowerShellTcp.ps1 -l 3 -o /tmp/chimera.ps1 -v -t powershell,windows,...

在shells/目录中，包含了多种预设的PowerShell脚本，供你进行实验和定制。

结论

Chimera不仅是一个强大的技术展示，也提供了一种思考如何应对日益复杂的网络威胁的新视角。虽然其主要用途可能与灰色地带相关，但理解这种技术同样有助于提升安全防御策略。对于技术爱好者和安全研究人员而言，Chimera无疑是一个值得探索的开源项目。

参考资源：

• Invoke-Obfuscation
• AMSITrigger
• PSAmsi
• amsi.fail
• Unicorn
• www.wolfandco.com