SHAREM ist ein Framework zur Analyse von Shellcode, das mehr als 45.000 WinAPIs und praktisch alle Windows-Syscalls emulieren kann. Es enthält außerdem einen eigenen, individuell entwickelten Disassembler mit vielen innovativen Funktionen, wie der Möglichkeit, die deobfuskierte Disassemblierung eines codierten Shellcodes anzuzeigen oder Emulationsdaten zu integrieren, um die Disassemblierung zu verbessern.
Willkommen bei SHAREM!
SHAREM wurde auf der DEFCON 31 in „Game-Changing Advances in Windows Shellcode Analysis" und im Black Hat USA Arsenal vorgestellt. Ein begleitendes Ghidra-Plugin wurde (separat) von Trellix, mit freundlicher Genehmigung von Max Kersten, zur Verfügung gestellt. So können Sie die Leistungsfähigkeit von SHAREM auf Ghidra ausweiten, falls gewünscht.
SHAREM ist als das ultimative Windows-Shellcode-Tool konzipiert, mit Unterstützung zur Emulation von über 45.000 WinAPIs, praktisch allen User-Mode-Windows-Syscalls, und SHAREM bietet zahlreiche neue Funktionen. SHAREM enthält einen Emulator, einen Disassembler, zeitloses Debugging, Brute-Force-Deobfuskation und viele weitere Funktionen. Der Emulator von SHAREM kann auch vollständige Strukturen (oder sogar Strukturen innerhalb von Strukturen) anzeigen und ermöglicht es, dass codierter Shellcode sich selbst deobfuskiert. SHAREM protokolliert die Ausgabe aller analysierten WinAPIs und Windows-Syscalls und unterteilt sie zudem in viele Kategorien und Unterkategorien. Die vollständige Codeabdeckung von SHAREM ermöglicht es auch, unerreichbare Funktionalitäten zu entdecken.
Der Disassembler von SHAREM kann entdeckte Funktionen in die Disassemblierung integrieren und jede im Disassembler kennzeichnen. SHAREM zeigt zudem die entschlüsselte Form von codiertem Shellcode im Disassembler an, sodass ein Debuggen des Shellcodes nicht erforderlich ist.
Wir haben ein SHAREM-Wiki erstellt, das einige Anleitungen zur Verwendung von SHAREM bietet, obwohl derzeit erhebliche Teile und Funktionen nicht dokumentiert sind. SHAREM wurde über einen Zeitraum von zwei Jahren von mehreren Personen entwickelt. Der Disassembler von SHAREM ist deutlich genauer als führende Disassembler. Darüber hinaus kann SHAREM Emulationsdaten in den Disassembler integrieren, was eine nahezu fehlerfreie Disassemblierung ermöglicht.
Bitte beachten Sie, dass die Dokumentation hier etwas spärlich ist, da SHAREM gerade erst veröffentlicht wurde. Wir werden das GitHub in den kommenden Wochen mit weiteren Informationen aktualisieren.
Wenn Sie neu bei SHAREM sind, sehen Sie sich gerne ein kurzes Demovideo an, das einige seiner Fähigkeiten zeigt. Klicken Sie auf das Bild, um die Demo anzusehen:
März 2026: SHAREM wird beim Start bis zu 61 DLLs laden, aber mit dem neuesten Update kann es jetzt 369 DLLs und 45538 eindeutige WinAPIs unterstützen. Darüber hinaus werden DLLs bei Bedarf geladen. Windows-interne Funktionen (wie Modullisten, Flinks, Blinks usw.) werden automatisch aktualisiert, wenn zusätzliche DLLs geladen werden müssen, z. B. über LoadLibraryA. Es gab zahlreiche weitere Aktualisierungen zur Verbesserung der Funktionalität. Es wurden Änderungen vorgenommen, um einige Probleme zu beheben, die mir bezüglich Installationsherausforderungen gemeldet wurden.
2024/2025: SHAREM kann optional KI zur Analyse von Ergebnissen nutzen, mit einem OpenAI-Schlüssel (vom Benutzer bereitgestellt). Beachten Sie, dass SHAREM vor den jüngsten Fortschritten in der KI entwickelt wurde und die Nutzung von KI erst nach Abschluss der anfänglichen Analyse durch SHAREM erfolgt. Diese optionale Funktion ermöglicht es, das Gefundene zu untersuchen und auf das MITRE ATT&CK-Framework und vieles mehr anzuwenden.
SHAREM wird als lokales Python-Paket installiert, sodass wir in anderen Projekten darauf zugreifen können. Dies ermöglicht das Importieren von Teilen von SHAREM. Daher muss es als Paket installiert werden. Hinweis: Mir wurde von einigen Installationsproblemen berichtet. Aktuelle Änderungen sollten dieses Problem hoffentlich beheben.
Git wird für die Installation von sharem benötigt. Es kann von https://git-scm.com/download/win installiert werden. Nach der Installation starten Sie den Computer neu und fahren Sie mit der SHAREM-Installation fort. Git dient zur Automatisierung der Installation des Windows-SSDeep. Sie können dies auch manuell tun und die .bat-Datei ändern, um SSDeep auszuschließen, wenn Sie es selbst erledigen. Die manuelle Installation vermeidet die Notwendigkeit von Git. Hinweis: Für Windows wechseln wir zu einem Fork von SSDeep auf dem Bw3ll-Konto, der einige Installationsprobleme mit der vorherigen Version behebt. Diese Version und die vorherige waren Wrapper für SSDeep.
Führen Sie die .bat-Datei aus. Sie ruft die setup.py-Datei auf. Abhängig davon, wie Sie Python aufrufen, müssen Sie möglicherweise die alternative .bat-Datei aufrufen oder sie leicht modifizieren, falls Sie etwas Nicht-Standardmäßiges verwenden.
Führen Sie
py -m pip list oder python3 -m pip list aus, um zu überprüfen, dass SHAREM lokal als Paket installiert ist. Es muss als Paket installiert sein, damit es funktioniert. Was passiert, wenn Sie es NICHT sehen? Dann ist es NICHT als Paket installiert, und SHAREM wird NICHT funktionieren. Stellen Sie sicher, dass Sie die .bat-Datei(en) verwenden und dies in der Windows-Eingabeaufforderung aus dem Installationsverzeichnis tun. Wenn es nicht funktioniert, suchen Sie nach Fehlermeldungen. Falls welche vorhanden sind, versuchen Sie, sie zu korrigieren. Sie können es ein paar Mal versuchen. Wenn das immer noch nicht funktioniert, öffnen Sie ein Issue und versuchen Sie, all diese Informationen beizufügen, damit wir versuchen können, das Problem zu lösen. Normalerweise ist dies nicht erforderlich, aber gelegentlich kann es vorkommen. Wenn Sie es bereits deinstalliert haben und sich entscheiden, es erneut zu installieren, müssen Sie möglicherweise das Installationsskript erneut ausführen. Sobald Sie sharem sehen, wenn Sie py -m pip list ausführen, wissen Sie, dass es korrekt als lokales Paket installiert ist.
Nachdem SHAREM installiert ist, möchten Sie beim ersten Ausführen eines Shellcodes im Verzeichnis sharem_cli sein. Zum Beispiel könnten Sie in diesem Verzeichnis py main.py -r32 shellcode.bin ausführen. Kein Shellcode? Das ist in Ordnung, Sie finden einige Beispiele im Repository für Shellcode-Beispiele, das ich in einem separaten Repository hoste.
