secretsquirrel/recomposerيغير ملفات PE (Win32/64) بشكل عشوائي لتحميل 'أكثر أمانًا' إلى مواقع البرامج الضارة والصناديق الرملية.
هل سبق لك أن شعرت بعدم الأمان عند رفع ملفات البرامج الضارة الخاصة بك إلى VirusTotal أو مواقع مكافحة الفيروسات الأخرى لأنه يمكن البحث عن الملفات الثنائية بواسطة التجزئات (هاشات)؟ (مثال: https://github.com/mubix/vt-notify)
اشعر بأمان أكبر قليلاً مع Recomposer!*
سيأخذ Recomposer ملفك الثنائي ويقوم عشوائياً بما يلي:
بالمناسبة، سيظل ملفك قابلاً للتنفيذ، لذا ارفعه دون قلق!*
يدعم ملفات PE الخاصة بـ win32/64!!
وضعان:
تم الاختبار بإنشاء 11200 عينة من ملف ثنائي واحد. النتائج:
./recomposer.py -f live.sysinternals.com/Tcpview.exe -a
Old file name: live.sysinternals.com/Tcpview.exe
New file name: zYmycO4NO2LYW.exe
[*] Checking if binary is supported
[*] Gathering file info
1 Section: .text | SectionFlags: 0x60000020
2 Section: .rdata | SectionFlags: 0x40000040
3 Section: .data | SectionFlags: 0xc0000040
4 Section: .rsrc | SectionFlags: 0x40000040
[*] Changing Section .text Name
[*] Changing Section .rdata Name
[*] Changing Section .data Flags
[*] Changing Section .data Name
[*] Changing Section .rsrc Name
Updated Binary:
updatedfile/zYmycO4NO2LYW.exe
[*] Checking if binary is supported
[*] Gathering file info
1 Section: .mhz | SectionFlags: 0x60000020
2 Section: .p1k | SectionFlags: 0x40000040
3 Section: .FSr0U | SectionFlags: 0xd0000443
4 Section: .q2X | SectionFlags: 0x40000040
Writing to log_recomposer.txt
قد ترى هذا التحذير:
[!] Warning, .text section hash is not changed!
[!] No caves available for nop injection.
مما يعني أن تجزئة مقطع .text ستكون مماثلة للملف الأصلي ويمكن البحث عنها (على الويب) بمجرد فهرسة Google لنتائج VT (إذا قمت برفع الملف بالطبع). إذا حدث ذلك، فإن ترميز الملف المُعاد تكوينه باستخدام upx يجب أن يحل هذه المشكلة (ما لم يكن الملف مشفراً بـ upx أصلاً).
بعد اكتمال Recomposer، سيكون ملفك في مجلد updatedfile. لا تتردد في رفعه إلى خدمة فحص البرامج الضارة المفضلة لديك!
محرر PE بسيط:
./recomposer.py -f live.sysinternals.com/Tcpview.exe -m
[*] Checking if binary is supported
[*] Gathering file info
[?] What sections would you like to change:
1 Section: .text | SectionFlags: 0x60000020
2 Section: .rdata | SectionFlags: 0x40000040
3 Section: .data | SectionFlags: 0xc0000040
4 Section: .rsrc | SectionFlags: 0x40000040
Section number:1
[-] You picked the .text section.
[?] Would you like to (A) change the section name or (B) the section flags? b
[-] You picked: b
=========================
[*] Current attributes:
.text | 0x60000020
[-] IMAGE_SCN_MEM_READ, IMAGE_SCN_MEM_EXECUTE
[-] IMAGE_SCN_CNT_CODE
=========================
[*] Commands 'zero' out the flags, 'help', 'write', or ('exit', 'quit', 'q', 'done')
[*] Use 'write' to commit your changes or 'clear' to start over.
[?] Enter an attribute to add or type 'help' or 'exit':
[...]
ما عليك سوى اتباع القائمة وستظهر نتائجك في مجلد updatedfile باسم change.filename.exe أو أي اسم مخرج تختاره عند استخدام الوسم -o.
إذا كنت مرتبكاً بشأن مكان ملفاتك، فما عليك سوى إلقاء نظرة على log_recomposer.txt لمعرفة الموقع والتجزئات (هاشات) للملفات التي تم تغييرها:
filename|filename_hash|changedfile|changedfile_hash
psinfo.exe|ae1554f2c1b1454a91c5610747603824|updatedfile/8dV5.exe|791ff4d4b2010accebc718afda58f83a
psexec.exe|d0df366711c8b296680002840336b6fd|updatedfile/udi6ieIVFi.exe|6fafa108d697a46a271a918436e60cd5
live.sysinternals.com/Tcpview.exe|9aa5a93712c584acdcaa7eef9d25ef4d|updatedfile/zYmycO4NO2LYW.exe|fd984b833443c457668a480a37cf9904
live.sysinternals.com/Tcpview.exe|9aa5a93712c584acdcaa7eef9d25ef4d|updatedfile/change.Tcpview.exe|c43eeec089a3e4f9e6fd0218a27ca4c2
*لا يمنع Recomposer البرامج الضارة من إخطار مالكها بتشغيلها خارج البيئة المتوقعة.**
**أي: بيئتك.***
***لكن إذا كنت لا تهتم، فافعلها!