Olá a todos, recentemente tentei reviver uma técnica antiga usada para executáveis ​​.NET na memória diretamente do JScript.

O procedimento é público e muito bem explicado

Aqui está o repositório: ( https://github.com/tyranid/DotNetToJScript 39)

Portanto, estamos em 2022 e usar essa versão simples do DotNetToJScript não ajudará com certeza a ignorar os antivírus, então a primeira etapa que fiz foi ofuscar o arquivo jscript de saída com o executável .NET codificado dentro.

Consegui contornar alguns antivírus (um deles é o BitDefender, sim, contorna com DotNetToJScript ofuscado)

Então, consegui contornar alguns antivírus, tudo bem, mas então por que estou escrevendo isso?

Bem, porque estou lutando para contornar o Windows Defender mais recente.

Por que está sendo detectado? Acho que aqui está muito bem explicado: [ https://www.microsoft.com/security/blog … h-behavior -monitoring-amsi-and-next-gen-av/ 19](Detecção genérica de técnicas sem arquivo)

Portanto, a detecção que estou obtendo é do amsi, é claro, e se chama Trojan:JS/SharpShooter.A e, obviamente, é uma detecção de comportamento.

Então... ofuscar o script não é uma opção, adicionar código indesejado aleatório / chamar funções aleatórias entre o código também não é uma opção... existe uma maneira de ignorar essa detecção apenas pelo jscript?

Qualquer ideia será útil!