AntiVirus Evasion Tool

AVET wird aufgrund technischer Entwicklung und Zeitbeschränkungen nicht weiterentwickelt.

AVET ist ein AntiVirus Evasion Tool, das entwickelt wurde, um Pentestern das Leben zu erleichtern und mit Techniken zur Umgehung von Antivirensoftware sowie anderen Methoden, die von Schadsoftware verwendet werden, zu experimentieren. Eine Übersicht über die neuen Funktionen in v2.4 sowie frühere Versionserweiterungen finden Sie in der CHANGELOG-Datei.

Inhaltsverzeichnis

• Installation

• Docker

• AVET der einfache Weg

• AVET der normale Weg

• Dokumentation (klicken zum Erweitern)

  • Datenabrufmethoden
  • Verschlüsselung und Kodierung
  • Sandbox-Umgehung
  • Zusätzliche Befehlsausführung
  • Hilfswerkzeuge
  • AVET & Metasploit psexec
  • Gegnerische Beispiele

• Mehr

Einige Funktionen

• Wenn eine mit msfpayload & co erstellte .exe-Datei ausgeführt wird, wird sie oft von Antivirensoftware erkannt
• AVET ist ein Tool zur Umgehung von Antivirensoftware, das auf Windows-Maschinen mit ausführbaren Dateien abzielt
• Es können jetzt verschiedene Arten von Eingabe-Payloads verwendet werden: Shellcode, exe und dlls
• Weitere Techniken verfügbar: Shellcode/DLL-Injection, Process Hollowing und mehr
• Flexible Abrufmethoden für Payload, Entschlüsselungsschlüssel usw.
• Verwendung als Dropper
• Durch Verkettung mehrerer AVET-Instanzen können bei Bedarf mehrere Umgehungsebenen hinzugefügt werden
• Kombination von Techniken: Laden Sie Ihren verschlüsselten Payload über PowerShell herunter, während Sie den Entschlüsselungsschlüssel zur Ausführungszeit über das Befehlszeilenargument bereitstellen, und injizieren Sie Ihren Payload schließlich in einen anderen Prozess, wobei Sie aus mehreren Techniken wählen können
• Grundlegende Sandbox-Prüfungen
• Generierung gegnerischer Beispiele gegen statische Detektoren, die auf maschinellem Lernen basieren
• Führen Sie alle verfügbaren Build-Skripte mit build_script_tester.py aus. Dies könnte auch für Forscher interessant sein, die eine Reihe von "bösartigen" Beispielen mit verschiedenen Umgehungs- und Injektionstechniken erstellen möchten

Wichtiger Hinweis

Nicht alle Techniken umgehen jede AV-Engine. Wenn eine Technik oder ein Build-Skript nicht funktioniert, testen Sie bitte eine andere. Experimentieren Sie ruhig! Immerhin ist dies ein Werkzeugkasten - den Hammer sollten Sie jedoch selbst führen.

Installation

Die Installationsanleitung gilt für Kali 64bit und tdm-gcc!

Sie können das Setup-Skript verwenden:```bash ./setup.sh

Dies sollte Sie automatisch in Gang bringen, indem wine installiert/konfiguriert und tdm-gcc installiert wird.
Sie werden kurz darauf durch die GUI des tdm-gcc-Installers klicken müssen – die Standardeinstellungen sollten in Ordnung sein.
Das Skript wird auch fragen, ob Sie die Abhängigkeiten von AVET installieren möchten, die für die Verwendung einiger Build-Skripte benötigt werden. Die heruntergeladenen Abhängigkeiten werden in separaten Ordnern neben dem avet-Ordner abgelegt.

Die Abhängigkeiten werden die neuesten Versionen von:
- [pe_to_shellcode](https://github.com/hasherezade/pe_to_shellcode)
- [mimikatz](https://github.com/gentilkiwi/mimikatz)
- [DKMC](https://github.com/Mr-Un1k0d3r/DKMC)

Falls Sie aus irgendeinem Grund wine und tdm-gcc manuell installieren möchten:
- [So installieren Sie tdm-gcc mit wine](https://govolution.wordpress.com/2017/02/04/using-tdm-gcc-with-kali-2/)

## Docker

Falls Sie Kali nicht verwenden oder Metasploit nicht auf Ihrem System installieren möchten, können Sie stattdessen den Docker-Container verwenden.
Der Container kapselt Metasploit und avet, und die Beispiele werden in Ihrem aktuellen Verzeichnis erstellt.
Es ist auch möglich, einen grafischen Texteditor wie gedit zu verwenden.

Erstellen des Containers:```bash
sudo docker build -t avet:v0.1 .

Verwendung:```bash sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet:v0.1 /bin/bash

Für eine bessere Erfahrung wird empfohlen, dies zu aliasen.```bash
# In your .bash_profile, .bashrc or .bash_aliases

alias avet='sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet /bin/bash'

AVET der einfache Weg

avet.py ist ein kleines Python-Dienstprogramm, das entwickelt wurde, um Ihnen bei der Verwendung des Tools zu helfen.

Es listet alle Skripte auf, die sich derzeit im Build-Ordner befinden. Nachdem Sie eines ausgewählt haben, können Sie das Skript Zeile für Zeile durchgehen und haben die Möglichkeit, den Inhalt spontan zu ändern.

Letzteres ist besonders nützlich, da Sie jedes Mal, wenn Sie ein Build-Skript über die Fabric ausführen, neue LHOST- und LPORT-Variablen für msfvenom definieren können. Sie können Standard-LHOST- und LPORT-Werte in der Datei /build/global_connect_config.sh definieren, die verwendet werden, wenn Sie sie nicht neu definieren.

Diese Änderungen sind vorübergehend, was bedeutet, dass alle von Ihnen vorgenommenen Änderungen nicht dauerhaft im Build-Skript auf der Festplatte gespeichert werden. Die modifizierte Version wird einmal ausgeführt und Ihr Executable erstellt.

                   .|        ,       +
         *         | |      ((             *
                   |'|       `    ._____
     +     ___    |  |   *        |.   |' .---"|
   _    .-'   '-. |  |     .--'|  ||   | _|    |
.-'|  _.|  |    ||   '-__  |   |  |    ||      |
|' | |.    |    ||       | |   |  |    ||      |