NovaLdr ⚜️
NovaLdr ist ein Threadless Module Stomping, geschrieben in Rust, konzipiert als Lernprojekt zur Erkundung der Welt der Malware-Entwicklung. Es verwendet fortgeschrittene Techniken wie indirekte Syscalls und String-Verschlüsselung, um seine Funktionalitäten zu erreichen. Dieses Projekt ist nicht als vollständiges oder ausgereiftes Produkt gedacht, sondern eher als eine Reise in die technischen Aspekte von Malware, die verschiedene Techniken und Funktionen vorstellt.
Feature-Übersicht 💡
- Indirekte Syscalls
- String-Verschlüsselung
- Shellcode-Verschlüsselung: einfaches XOR und Umwandlung der Shellcode-Bytes in MAC-Adressen
- Threadless Execution
- Threadless Inject: Schreibt eine Trampolin-Funktion in eine bestimmte Funktion innerhalb einer gegebenen DLL und leitet sie um, um eine andere DLL zu laden.
- JMPThreadHijack: Übernimmt einen Thread ohne SetThreadContext aufzurufen. Muss noch verbessert werden, da ich faul bin und das Ganze nicht gut genug implementiert habe, um die ursprüngliche Funktionalität des Threads zu erhalten. Nur ein schneller und schmutziger PoC (Vorsicht vor der Kontrolle der Payload-Ausführung. Browser neigen dazu, die Payload mehrfach auszuführen)
- Module Unlink
- Überschreibt die Magic-Bytes des DOS-Headers.
- Löscht die DLL-Basisadressen aus dem Zielprozess.
- Entfernt DLL-Namensstrings aus dem Zielprozess.
- Entfernt ein Modul aus der Modulliste.
- Prozess erstellen: Erzeugt einen angehaltenen Prozess mit NtCreateUserProcess, spoofed die PPID und setzt den Prozess auf Block DLL
- Ntdll Unhooking: Remote und lokales Ntdll Unhooking mit Parun's Fart-Technik
- Kein GetModuleHandleA und GetProcAddress: Eigene Funktion, die NT-Funktionen verwendet
- Sleep Encrypt: Benutzerdefinierte Sleep-Funktion, die während der Schlafdauer den Stack mittels eines separaten Threads verschlüsselt.
- HWBP: Prozess-interner patchloser AMSI + ETW Bypass mit HWBP auf allen Threads.
Verwendung 🛠️
- Shellcode-Datei generieren:
msfvenom -p windows/x64/messagebox TITLE=NovaLdr TEXT='In memory of all those murdered in the Nova party massacre 7.10.2023' ICON=WARNING EXITFUNC=thread -b '\xff\x00\x0b' -f raw -e none -o Nova_MSG.bin
- Die Shellcode-Datei verschlüsseln und in das MAC-Adressformat konvertieren:
python bin2mac.py Nova_MSG.bin > nova_msg.txt
- Den Inhalt der Ausgabedatei kopieren und in die Datei main.rs einfügen
- Das Programm kompilieren, indem Sie einfach die Datei
compile.bat ausführen
Haftungsausschluss 📢
NovaLdr ist ausschließlich für Bildungs- und Forschungszwecke bestimmt. Der Autor übernimmt keine Verantwortung für Missbrauch oder Schäden, die durch dieses Programm verursacht werden. Holen Sie immer die Erlaubnis ein, bevor Sie es gegen ein Ziel testen.
Mitwirken 📈
Da dieses Projekt eine Lernreise ist, sind Beiträge, Vorschläge und Verbesserungen willkommen, um NovaLdr zu einer wertvollen Ressource für das Erlernen der Malware-Entwicklung in Rust zu machen.
Ressourcen & Danksagung 📍
POC
PE-SIEVE
