nim-loader

مغامرة تقريبية للغاية قيد التطوير لتعلم Nim من خلال تجميع الموارد معًا لإنشاء أداة تحميل شيلكود تنفذ تقنيات مراوغة EDR/AV شائعة.

هذه فوضى وهي لأغراض البحث فقط! من فضلك لا تتوقع أن يتم تجميعها وتشغيلها دون تعديلاتك الخاصة.

التعليمات

• استبدل مصفوفة البايت في loader.nim بشيلكود x64 الخاص بك
• قم بتجميع EXE وتشغيله: nim c -d:danger -d:strip --opt:size "loader.nim"
• ربما قم بتعديل العملية التي تريد الحقن فيها من خلال النظر في ملفات .nim الخاصة بطريقة الحقن التي تستخدمها...

الميزات المكتملة

• استدعاءات النظام المباشرة التي تم حلها ديناميكيًا من NTDLL (شكرًا @ShitSecure)
• تصحيح AMSI و ETW (شكرًا @byt3bl33d3r)
• إلغاء ربط NTDLL (شكرًا @MrUn1k0d3r)
• حقن CreateRemoteThread (شكرًا @byt3bl33d3r, @ShitSecure)

الميزات قيد التطوير

• تقنية إفراغ العملية (شكرًا @snovvcrash)
• تشفير/فك تشفير الشيلكود باستخدام [AES في وضع CTR](https://en.wikipedia.org/wiki/Block_cipher_mode_of_operation#Counter_(CTR) (شكرًا @snovvcrash)
• استبدال جميع استدعاءات API المتوافقة باستدعاءات النظام
• إضافة مولد قالب ومترجم، وسيطات سطر أوامر للشيلكود، وطرق الحقن، ومسارات العمليات، إلخ.

التعتيم

• فكر في استخدام denim من @LittleJoeTables لدعم تجميع obfuscator-llvm nim!

المراجع والإلهام

• OffensiveNim by Marcello Salvati (@byt3bl33d3r)
• NimlineWhispers2 by Alfie Champion (@ajpc500)
• SysWhispers3 by klezVirus (@KlezVirus)
• NimPackt-v1 by Cas van Cooten (@chvancooten)
• unhook_bof.c by Mr. Un1k0d3r (@MrUn1k0d3r)
• NimGetSyscallStub by S3cur3Th1sSh1t (@ShitSecure)
• NimHollow by snovvcrash (@snovvcrash)

أمثلة