florylsk/recycledinjectorNative Syscall-Shellcode-Injektor unter Verwendung von HellsGate/HalosGate/TartarusGate für unentdeckbare Ausführung, mit externem Shellcode-Laden und EDR-Umgehung durch Beendigung verwundbarer Treiber.
(Momentan) vollständig unerkannter Injector für nativen/.NET-Assembly-Shellcode im selben Prozess, basierend auf RecycledGate von thefLink, welches wiederum auf HellsGate + HalosGate + TartarusGate basiert, um unerkennbare native Syscalls zu gewährleisten, selbst wenn eine Technik fehlschlägt.
Um verborgen zu bleiben und die Entropie der endgültigen ausführbaren Datei niedrig zu halten, sollte der Shellcode immer extern geladen werden, da die meisten AV/EDRs ohnehin keine Signaturen auf nicht ausführbare oder DLL-Dateien überprüfen.
Wichtig ist auch zu beachten, dass sich der „vollständig unerkannte“ Teil auf das Laden des Shellcodes bezieht, der Shellcode jedoch weiterhin einer Verhaltensüberwachung unterliegt; stellen Sie daher sicher, dass die geladene ausführbare Datei ebenfalls Techniken zur Verteidigungsumgehung einsetzt (z.B. SharpKatz, das DInvoke anstelle von Mimikatz verwendet).
.\RecycledInjector.exe <path_to_shellcode_file>
Dieses Proof of Concept nutzt Terminator von ZeroMemoryEx, um die meisten auf dem System vorhandenen Sicherheitslösungen/-agenten zu beenden. Es wird gegen Microsoft Defender for Endpoint EDR eingesetzt.
Links injizieren wir den Terminator-Shellcode, um den anfälligen Treiber zu laden und MDE-Prozesse zu beenden, und rechts ist ein Beispiel für das Laden und Ausführen von Invoke-Mimikatz remote aus dem Speicher, das nicht gestoppt wird, da auf dem System keine Sicherheitslösung mehr läuft.
