混淆Mimikatz下载器以规避Defender检测

 

视频教程在我主页简介或专栏里

（不懂都可以来问我 专栏找我哦）

 

本文将展示如何混淆 Mimikatz 下载器，以绕过 Defender 检测，注意⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤，任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的，否则后果⾃⾏承担。

我将使用一台虚拟机，并在其上安装了 Visual Studio 和 Python。我还将 Windows Defender 中的文档文件夹设为例外，这样我们可以在不被 Defender 打扰的情况下进行操作。

请确保在 Windows 安全设置中禁用样本提交！这样我们可以确保不会过早暴露我们自己的工作技巧。还要避免上传到 VirusTotal。

我们将混淆 BetterSafetyKatz：https://github.com/Flangvik/BetterSafetyKatz

BetterSafetyKatz 的工作方式是，它将直接从 gentilkiwi GitHub 仓库获取最新的预编译 Mimikatz 版本，进行运行时修补已检测到的签名，并使用 SharpSploit DInvoke 将其加载到内存中。你还可以将链接或路径作为参数传递给可执行文件，它会尝试从那里获取 Mimkatz 的 zip 压缩包。

我将下载 BetterSafetyKatz 并从 zip 文件中提取项目。

现在，为了进行一些初步的混淆，我将使用 InvisibilityCloak：

这是一个 Python 脚本，可以对 C# Visual Studio 项目进行修改。它将更改文件中的项目名称，然后根据我们给定的方法对字符串进行混淆。

我将把 BetterSafetyKatz 文件夹作为 -d 参数传递，然后将项目名称更改为 DarkMagician，并使用 -n 参数，最后指定我希望使用 -m reverse 来反转所有字符串。