blenny

Blenny ist ein Proof-of-Concept-Tool zur Payload-Verschleierung für Windows, das ausführbare Payload-Daten im Icon der ausführbaren Datei versteckt. Benannt ist es nach dem Säbelzahn-Schleimfisch, der das Verhalten und Aussehen von Putzerfischen nachahmt, um ahnungslose Fische zu erbeuten.

Warum?

Ich kann mich nicht mehr genau an die Geschichte erinnern, aber ein Hacker namens retr0id (@DavidBuchanan314) brachte die Idee auf, eine Payload im Icon einer ausführbaren Datei zu verstecken. Wegen verschiedener Eigenheiten von PNG-Dateien – und weil Windows-Icon-Dateien PNG-Daten enthalten können – wurde mir klar, dass ich diese Idee ziemlich einfach umsetzen konnte; es würde nur ein wenig Handarbeit erfordern. Ich habe die Facade-Bibliothek – eine Bibliothek mit dem spezifischen Zweck, Payloads in PNG-Dateien zu erzeugen – genau für diesen Zweck erstellt.

Das Endergebnis ist eine kompakte Payload-Datei und ein Build-System, mit dem sich ein einfacher Dropper/Executor-Payload für Windows anpassen lässt.

Beziehen

Blenny verwendet die Facade-Bibliothek, um aus Icon-Dateien Payloads zu erzeugen. Wenn du das Repository herunterlädst, müssen daher das Submodul (und dessen Submodule) initialisiert werden:

$ git clone https://github.com/frank2/blenny.git
$ cd blenny
$ git submodule update --init --recursive

Das sollte alles sein, was du benötigst, um das Repository für den Build zu initialisieren.

Erstellen

Dieses Projekt wurde buchstäblich mit CMake im Hinterkopf entwickelt. Bevor du es erstellst, musst du daher unbedingt CMake beschaffen und installieren. Es wird wahrscheinlich nicht funktionieren (außer du bist wirklich entschlossen, alle CMake-Definitionen selbst von Hand zu setzen). Du benötigst außerdem eine Kopie von Visual Studio, um das Projekt zu kompilieren.

Dieses Projekt verwendet zahlreiche CMake-Variablen, um den Build-Prozess zu konfigurieren. Um eine einfache Demonstrations-Payload zu erhalten, bei der ein niedlicher Schaf-Freund auf deinem Desktop landet, kannst du im Hauptverzeichnis des Projekts Folgendes ausführen:

$ mkdir build
$ cd build
$ cmake -D BLENNY_ZTEXT_PAYLOAD=ON ../
$ cmake --build ./ --config Release
$ ./Release/blenny.exe

Standardmäßig extrahiert dies eine ausführbare Datei namens „blenny.exe“ aus dem Icon der ausführbaren Datei in das Temp-Verzeichnis des aktuellen Benutzers und führt sie dann aus. Die Standard-Payload ist @AdrianoTigers DesktopPet, ein spezieller Rebuild des klassischen esheep.exe aus den 90ern.

Alle Variablen, die das ermöglichen, sind anpassbar! Eine Payload-Variable (BLENNY_TRAILING_PAYLOAD, BLENNY_TEXT_PAYLOAD, BLENNY_ZTEXT_PAYLOAD oder BLENNY_STEGO_PAYLOAD) muss gesetzt werden. Dies steuert, wie die Payload schließlich im Icon untergebracht wird. Details zu diesen Techniken findest du in der Facade-Bibliothek. Um zum Beispiel eine eigene Payload zu verwenden, gehe so vor:

$ cmake -D BLENNY_PAYLOAD_FILE="path/to/your/payload.exe" -D BLENNY_ZTEXT_PAYLOAD=ON ../
$ cmake --build ./ --config Release

Hier ist eine Tabelle mit allen Konfigurationsoptionen, die du festlegen kannst, ihren Standardwerten und ihrer Funktion.