مشروع آريس

حقنة مشروع آريس

حقنة مشروع آريس هي أداة تحميل إثبات المفهوم (PoC) مكتوبة بلغة C/C++ بناءً على تقنية Transacted Hollowing. يقوم المحمل بحقن PE في عملية بعيدة ويتميز بـ:

• انتحال PPID
• CIG لمنع الثنائيات غير الموقعة من مايكروسوفت
• حل الدوال الديناميكي بدون استخدام واجهات برمجة التطبيقات LoadLibrary() أو GetProcAddress()
• تجزئة API
• إلغاء ربط NTDLL عن طريق تحديث قسم .text بنسخة نظيفة من القرص
• تقليل استخدام واجهات WIN32
• كشف أساسي للصندوق الرملي
• حمولة مشفرة بـ AES256 CBC محملة من موارد PE

المحمل حالياً هو 64 بت فقط ويدعم حمولات 64 بت فقط.

مشفر مشروع آريس

المشفر هو تطبيق وحدة تحكم أساسي يهدف إلى تشفير الحمولة قبل إضافتها كمورد PE إلى الحاقن. يأخذ وسيط <filepath> واحد للحمولة على القرص، والتي يتم تشفيرها وكتابتها على القرص كـ payload.bin.

الاستخدام

1. غيّر مفتاح التشفير في Injector/main.cpp عند السطر 329 إلى قيمة 16 بايت
2. غيّر مفتاح التشفير في Cryptor/main.cpp عند السطر 34 ليتطابق مع مفتاح التشفير في Injector

اختيارياً، يمكن تعديل ناقلات التهيئة، يجب أن تكون 16 بايت أيضاً:

const uint8_t iv[] = { 0x00, 0x01, 0x02, 0x03, 0x04, 0x05, 0x06, 0x07, 0x08, 0x09, 0x0a, 0x0b, 0x0c, 0x0d, 0x0e, 0x0f };

3. استخدم Cryptor.exe لتشفير حمولة x64 التي تختارها
4. أضف payload.bin كمورد إلى الحاقن، تأكد من تسميته payload_bin أو قم بتعديل السطر 324 في Injector/main.cpp ليتناسب مع الاسم المعطى:

HRSRC rc = FindResource(NULL, MAKEINTRESOURCE(IDR_PAYLOAD_BIN1), L"PAYLOAD_BIN");

5. اربح

ملاحظة:

العملية الافتراضية المنشأة هي svchost.exe العملية الأم الافتراضية المنتحلة هي explorer.exe