Einleitung

Amber ist ein positionsunabhängiger (reflektiver) PE-Lader, der die Ausführung nativer PE-Dateien (EXE, DLL, SYS …) im Arbeitsspeicher ermöglicht. Er erlaubt eine heimliche Bereitstellung von Payloads im Arbeitsspeicher, die verwendet werden kann, um Antiviren-, Firewall-, IDS-, IPS-Produkte sowie Anwendungs-Whitelisting-Maßnahmen zu umgehen. Die von Amber generierten reflektiven Payloads können entweder von einem entfernten Server nachgeladen oder direkt im Arbeitsspeicher ausgeführt werden, ähnlich wie ein generischer Shellcode. Standardmäßig wird jeder generierte Payload mit dem neuen SGN-Encoder codiert. Amber verwendet CRC32_API und IAT_API zur unauffälligen Auflösung der Windows-API-Funktionsadressen. Nachdem die PE-Datei geladen und im Arbeitsspeicher ausgeführt wurde, wird der reflektive Payload gelöscht, um Speicherscannern zu entgehen.

Installation

Vorkompilierte Binärdateien finden Sie in den Releases.

Erstellung aus dem Quellcode

Die einzige Abhängigkeit für die Erstellung aus dem Quellcode ist die Keystone-Engine. Befolgen Sie diese Anweisungen zur Installation der Bibliothek. Sobald libkeystone auf dem System installiert ist, einfach go get it ツ

go install github.com/EgeBalci/amber@latest

Docker-Installation

docker pull egee/amber
docker run -it egee/amber

Verwendung

Die folgende Tabelle listet die von Amber unterstützten Schalter auf.

Beispielverwendung

• Generieren Sie einen reflektiven Payload.

amber -f test.exe

• Generieren Sie einen reflektiven Payload mit IAT-API-Resolver und codieren Sie den endgültigen Payload 10 Mal.

amber -e 10 --iat -f test.exe

Docker-Verwendung

docker run -it -v /tmp/:/tmp/ amber -f /tmp/file.exe

Demo

• NOPcon 2018 DEMO
• Pentest.blog - Deploying Reflective PE Files With Metasploit
• Pentest.blog - Deploying Reflective Ransomware POC