Τι είναι το PowerShell

Το PowerShell είναι ένα πανίσχυρο εργαλείο των windows που λατρεύουν οι hackers και τρέμουν οι διαχειριστές. Είναι μια script-based γλώσσα προγραμματισμού που επιτρέπει στους χρήστες να διαχειρίζονται σχεδόν κάθε πτυχή του λειτουργικού συστήματος, από την αυτοματοποίηση εργασιών μέχρι τη διαχείριση servers. Αυτό που το κάνει ισχυρό είναι ότι μπορεί να παρακάμπτει δικλείδες ασφαλείας των windows γιατί σε θεωρεί διαχειριστή του συστήματος όποτε κι εκπληρώνει με συνοπτικές διαδικασίες όλες σου τις επιθυμίες.

Χαρακτηριστικά του PowerShell

• Βασισμένο σε αντικείμενα: Σε αντίθεση με την κλασική γραμμή εντολών (CMD), όπου όλα είναι απλό κείμενο, το PowerShell διαχειρίζεται δεδομένα ως αντικείμενα .NET.
• Cmdlets (Command-Lets): Μικρές εντολές ειδικά σχεδιασμένες για αυτοματοποίηση και διαχείριση συστημάτων, όπως Get-Process, Stop-Service, Set-ExecutionPolicy κ.λπ.
• Διαχείριση Windows & Active Directory: Χρησιμοποιείται ευρέως για αυτοματοποίηση στο IT, όπως διαχείριση χρηστών, υπηρεσιών, αρχείων και δικτύων.
• Υποστήριξη Scripting: Μπορείς να γράψεις πολύπλοκα scripts για αυτοματοποίηση, όπως διαχείριση ενημερώσεων, backup, και monitoring.
• Διαλειτουργικότητα: Μπορεί να αλληλεπιδρά με API, αρχεία JSON, XML, REST services, κ.λπ.

Για να καταλάβεις πόσο ισχυρό είναι, με μια απλή εντολή που μπορείς να γράψεις στο powershell απενεργοποιείς κατευθείαν το antivirus και το firewall δίχως να σου βγάλει κάποιο παράθυρο επιβεβαίωσης ή κάποιο μήνυμα ότι απενεργοποιήθηκε.

Μια μια άλλη απλή εντολή μπορείς να ενεργοποιήσεις keylogger δηλαδή ότι πληκτρολογείς στο πληκτρολόγιο να το καταγράφει σε ένα αρχείο μέσα στον υπολογιστή ή να το στέλνει σε αλλον υπολογιστή δίχως να εγκαταστήσεις κάποιο πρόγραμμα ή να σου εμφανίσει κάποιο μήνυμα.

PowerShell και hacking

Mε τα παραπάνω που αναφέραμε είναι εμφανές ότι το Powershell είναι ένα πολύτιμο εργαλείο για τους hackers. Επείδη είναι επίσημο εργαλείο των Windows, δεν σηκώνει υποψίες και για το hacker είναι μια πολύ σημαντική κάλυψη το γεγονός ότι χρησιμοποιεί ένα επίσημο εργαλείο των Windows για hacking που είναι εγκατεστημένο εργοστασιακά σε αυτά.

1. Fileless Attacks – Ξεχνάμε τα αρχεία, πάμε κατευθείαν στη μνήμη!
   • Οι χάκερ εκτελούν κακόβουλες εντολές PowerShell στη RAM, χωρίς να αφήσουν ίχνη στο δίσκο εγκαθιστώντας κάποιο αρχείο. Πρακτικά, είναι σαν να κάνεις έγκλημα χωρίς να αφήνεις αποτυπώματα.
2. Διανομή Malware και Ransomware – Η παράδοση έφτασε!
   • Το PowerShell μπορεί να χρησιμοποιηθεί για να κατεβάσει και να εκτελέσει κακόβουλο λογισμικό. Χωρίς ειδοποιήσεις, χωρίς pop-ups. Σκέτη μαγεία – για τους χάκερ.
3. Privilege Escalation – Από ταπεινός χρήστης σε υπέρτατο αφεντικό του συστήματος!
   • Με τα κατάλληλα script, οι χάκερ αποκτούν διαχειριστικά δικαιώματα και κάνουν το σύστημα ό,τι θέλουν.
4. Bypassing Security Measures – Όταν το antivirus δεν σε βλέπει!
   • Οι χάκερ χρησιμοποιούν το PowerShell για να απενεργοποιήσουν antivirus, firewall και άλλες άμυνες. Κυριολεκτικά, ανοίγουν την πόρτα και λένε “ελάτε μέσα, παιδιά!”.
5. Data Exfiltration – Η κλοπή δεδομένων έγινε παιχνιδάκι!
   • Μέσα από έξυπνα script, παιρνουν Κωδικούς emails, sites, social media, τραπεζών κτλ  και αυτές οι πληροφορίες μπορούν να σταλούν σε απομακρυσμένους servers χωρίς κανείς να πάρει χαμπάρι.

Οι hackers ενσωματώνουν μέσα στα αρχεία word και excel μακροεντολές που όταν ανοίξεις τα αρχεία αυτά εκτελούν άμεσα εντολές του powershell και τραβάνε τα δεδομένα σου άμεσα. Αυτός είναι ο λόγος που σου στέλνουν οι hackers spam email με δήθεν απόδειξη πληρωμής, τιμολόγιο ή δήθεν κατάλογο προιόντων. Μήπως και μπερδευτείς και ανοίξεις το αρχείο.

Για να βρεις το powershell πρέπει να πληκτρολογήσεις κάτω αριστερά στην αναζήτηση των windows την λέξη powershell. Τώρα θα αναρωτηθείς αφού είναι τόσο επικίνδυνο εργαλείο γιατί είναι εγκατεστημένο στα windows. Διότι πολλές εφαρμογές και προγράμματα που χρησιμοποιείς το χρειάζονται για να εκτελούν εντολές του συστήματος και  scripts. Ουσιαστικά τα προγράμματα τρίτων για να κάνουν σημαντικές λειτουργίες χρησιμοποιούν το Powershell.

Είναι πολύ σημαντικό να χρησιμοποιείτε αξιόπιστα antivirus που μπορούν να περιορίσουν τις λειτουργίες του PowerShell σε τοπικό επίπεδο. Εάν έχετε δίκτυο θα πρέπει να απευθυνθείτε σε εξειδικευμένους τεχνικούς όπως είναι το 9Volto που μπορεί να περιορίσει τις λειτουργίες του PowerShell σε servers και σε δίκτυα.

---

Το  9Volto είναι ένα εξειδικευμένο επισκευαστικό κέντρο smartphone,  laptop και υπολογιστών και μπορεί να αναλάβει βλάβες σε  hardware και firmware επίπεδο.

Κατάστημα 1: Πύλης 59 Πειραιάς τηλ: 2104118176

Κατάστημα 2: 25ης Μαρτίου 55 Πειραιάς τηλ: 2104212212