Kodlanmış PowerShell komutlarına karşı nasıl savunulur

Saldırgan ne yapar

powershell.exe -EncodedCommand <metin>, base64 ile kodlanmış UTF-16LE metin olarak verilen bir script'i çalıştırır. PowerShell parametrenin kısa yazılışlarını (-e, -ec, -enc) ve - yerine /'yi de kabul eder. Script komut satırında okunamaz ve tırnak sorunları ortadan kalkar; saldırı framework'leri ajanlarını bu yüzden böyle başlatır. Aynı metin çoğu zaman bir cmd.exe /c start ... sarmalayıcısında da görünür.

Logda nasıl görünür

Komut satırında kodlanmış parametre ve uzun bir base64 metin olan bir süreç oluşturma olayı. Kayıtlardaki başlangıçlardan biri:

Script block logging açıksa PowerShell çalıştırdığı her script bloğunun içeriğini kendi operational loguna da yazar (Event ID 4104); çözülmüş script orada okunabilir.

Tespit

Challenge verisinde ölçüldü: kural 13 saldırı olayından 13 tanesini yakaladı, 2.321 normal olaydan 0 tanesiyle eşleşti.

title: Encoded PowerShell command on the command line
id: 8c4a1e7d-2f63-4b9a-a5d0-71e3c9b2f846
status: test
description: Detects a command line that passes a base64 encoded script to PowerShell with -EncodedCommand or a short form of it (-e, -ec, -enc), including cmd.exe wrappers that carry the same string.
references:
  - https://attack.mitre.org/techniques/T1059/001/
  - https://attack.mitre.org/techniques/T1027/
  - https://howdefend.com/defend/encoded-powershell/
author: Bartu Kılıç
date: 2026-10-20
tags:
  - attack.execution
  - attack.t1059.001
  - attack.defense-evasion
  - attack.t1027
logsource:
  product: windows
  category: process_creation
detection:
  selection:
    # A short form of -EncodedCommand followed by a long base64 string. " -e" alone would also
    # match PowerShell operators such as -eq inside a -Command script.
    CommandLine|re|i: '\s[-/]e[a-z]*\s+[a-z0-9+/=]{40,}'
  condition: selection
falsepositives:
  - Management and deployment tools that pass encoded scripts (review the decoded text in script block logging)
level: medium

Kuralın kaçırdıkları

• Komut satırında olmayan script'ler. Aynı kayıtlarda fodhelper.exe üzerinden (bir UAC atlatma) başlatılan ajan script'ini registry'den okudu: powershell -NoP -NonI -W Hidden -c $x=$((gp HKCU:Software\Microsoft\Windows Update).Update); powershell -NoP -NonI -W Hidden -enc $x. Kodlanmış metni değişken taşıyor, komut satırında base64 metin yok.
• powershell.exe olmadan PowerShell. PowerShell motorunu başka bir sürece yükleyen kod hiç PowerShell süreci oluşturmaz. Script block logging bunu da kaydeder.
• Başka tire karakterleri. Bazı programlar - yerine en dash, em dash ya da horizontal bar karakterini de kabul eder; kalıp - ve /'yi kapsar.

Önleme

• Script'i kaydedin. Script block logging'i açın (Group Policy: Windows PowerShell, Turn on PowerShell Script Block Logging) ve Event ID 4104'ü toplayın. Kodlanmış bir komutun ne yaptığını gösteren log budur.
• Dili kısıtlayın. App Control for Business ya da AppLocker politikası uygulandığında PowerShell Constrained Language Mode'da çalışır; bu mod saldırı araçlarının kullandığı şeylerin çoğunu (rastgele .NET tipleri, Windows API çağrıları) engeller.
• PowerShell 2.0'ı kaldırın. 2.0 motorunda script block logging yoktur. Microsoft onu Windows 11 24H2 ve Windows Server 2025'ten Ağustos ve Eylül 2025 güncellemeleriyle kaldırıyor; eski sürümlerde isteğe bağlı özelliği kaldırın.
• Attack surface reduction. Microsoft Defender'ın "Block execution of potentially obfuscated scripts" kuralı (5beb7efe-fd9a-4556-801d-275e5ffc04cc) karartılmış script içeriğini hedefler.

Pratik

Kuralı aynı veri üzerinde, hedeflerin hepsi etiketliyken kendiniz yazın.

Kaynaklar

• MITRE ATT&CK: T1059.001 PowerShell
• Microsoft Learn: about_Logging_Windows (script block logging)
• Microsoft Learn: about_Language_Modes
• Microsoft Support: PowerShell 2.0 removal from Windows
• Microsoft Learn: Attack surface reduction rules reference