LOLSpoof

LOLSpoof هو برنامج شيل تفاعلي يقوم تلقائيًا بتزوير وسائط سطر الأوامر للعملية المستنسخة. ما عليك سوى استدعاء سطر الأوامر الذي يبدو مشبوهًا LOLBin (مثل powershell -w hidden -enc ZwBlAHQALQBwAHIAbwBjAGUA....) وسيضمن LOLSpoof أن تتبع إنشاء العملية يبدو شرعيًا وواضحًا.

استخدم فقط لـ LOLBins 64-bit

لماذا

سطر أوامر العملية هو تتبع يتم مراقبته بشدة، ويتم فحصه بدقة بواسطة برامج مكافحة الفيروسات/EDRs ومحللي SOC أو صيادي التهديدات.

كيف

1. تحضير سطر الأوامر المزيف من السطر الحقيقي: lolbin.exe " " * sizeof(real arguments)
2. إنشاء LOLBin المعلق بسطر الأوامر المزيف
3. الحصول على عنوان PEB البعيد
4. الحصول على عنوان هيكل RTL_USER_PROCESS_PARAMETERS
5. الحصول على عنوان مخزن سطر الأوامر unicode
6. استبدال سطر الأوامر المزيف بالحقيقي
7. استئناف الخيط الرئيسي

اعتبارات أمان العمليات

على الرغم من أن هذه التقنية البسيطة تساعد في تجاوز كشف سطر الأوامر، إلا أنها قد تُدخل تتبعات مشبوهة أخرى:

1. إنشاء عملية معلقة
2. العملية الجديدة تحتوي على مسافات في النهاية (لكن من السهل جدًا جعلها حرفًا مكررًا أو حتى بيانات عشوائية بدلاً من ذلك)
3. الكتابة إلى العملية المستنسخة باستخدام WriteProcessMemory

البناء

تم بناؤه باستخدام Nim 1.6.12 (التجميع مع Nim 2.X ينتج أخطاء!)

nimble install winim

مشكلة معروفة

البرامج التي تمسح أو تغير رسائل الكونسول المطبوعة سابقًا (مثل timeout.exe 10) تعطل البرنامج. عند استخدام مثل هذه الأوامر، ستحتاج إلى إعادة تشغيل الكونسول. لا أعرف كيفية إصلاح ذلك، مرحب بالاقتراحات.