InvisibilityCloak

Proof-of-concept-Verschleierungs-Toolkit für C#-Post-Exploitation-Tools. Es führt die folgenden Aktionen für ein C#-Visual-Studio-Projekt aus.

• Ändert den Toolnamen
• Ändert die Projekt-GUID
• Verschleiert kompatible Zeichenfolgen in Quellcode-Dateien basierend auf der vom Benutzer eingegebenen Verschleierungsmethode
• Entfernt einzeilige Kommentare (z. B. // dies ist ein Kommentar)
• Entfernt die PDB-String-Option für die kompilierte Release-.NET-Assembly

Blogbeitrag: https://securityintelligence.com/posts/invisibility-cloak-obfuscate-c-tools-evade-signature-based-detection

Zeichenfolgen-Kandidaten, die nicht verschleiert werden

Die folgenden Zeichenfolgen-Kandidaten sind von der Verschleierung ausgeschlossen

• Zeichenfolgen mit weniger als 3 Zeichen
• Zeichenfolgen, die String-Interpolation verwenden (z. B. Console.WriteLine($"Hallo, {name}! Heute ist {date.DayOfWeek}, es ist {date:HH:mm} jetzt.");)
• Case-Anweisungen, da sie statische Werte sein müssen
• Const-Variablen, da sie statische Werte sein müssen
• Zeichenfolgen in Methodensignaturen, da sie statische Werte sein müssen
• Zeile mit " => ", wie in switch-Anweisungen verwendet, muss statischer Wert sein.
• is in einer if-Anweisung beim Vergleich, da die verglichenen Werte statisch sein müssen
• Zeichenfolgen innerhalb von Regexes
• Override-Zeichenfolgen, da sie statische Werte sein müssen
• Die folgenden zufälligen Randfälle für Zeichenfolgen, da sie Probleme beim Kodieren/Dekodieren verursacht haben
  • Zeichenfolge, die mit ' beginnt oder endet
  • ""' in der Zeile
  • + @" in der Zeile
  • """ in der Zeile
  • "" in der Zeile
  • Encoding.Unicode.GetString in der Zeile
  • Encoding.Unicode.GetBytes in der Zeile
  • Encoding.ASCII.GetBytes in der Zeile
  • Zeile beginnend mit " und endend mit ")]. Dies wird typischerweise für Befehlszeilenargumente verwendet und muss ein statischer Wert sein.

Support-Informationen

• Windows
• Linux (Debian-basierte Systeme)
• Python3

Argumente/Optionen

• -d, --directory - Verzeichnis, in dem sich Ihr Visual-Studio-Projekt befindet
• -m, --method - Verschleierungsmethode (base64, rot13, reverse)
• -n, --name - Name Ihres neuen Tools
• -h, --help - Hilfemenü
• --version - Version des Tools anzeigen

Verwendung/Beispiele

InvisibilityCloak mit Zeichenfolgen-Verschleierung ausführen

Base64-Zeichenfolgen-Verschleierung

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m base64

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m base64

ROT13-Zeichenfolgen-Verschleierung

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m rot13

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m rot13

Reverse-Zeichenfolgen-Verschleierung

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m reverse

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m reverse

InvisibilityCloak ohne Zeichenfolgen-Verschleierung ausführen

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool"

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool"

Statistiken zur signaturbasierten Erkennung

Die folgende Tabelle zeigt die Statistiken zur signaturbasierten Erkennung zwischen den unverschleierten und verschleierten Versionen von 20 beliebten öffentlichen C#-Tools mit InvisibilityCloak.

Dies bezieht sich speziell auf Microsoft Defender (kostenlose Version) und ist gültig ab dem 14. April 2022.

Tool	Link	Unverschleiert	Verschleiert mit InvisibilityCloak
ADCSPwn	https://github.com/bats3c/ADCSPwn	Erkannt	Nicht erkannt
Certify	https://github.com/GhostPack/Certify	Erkannt	Nicht erkannt
Farmer	https://github.com/mdsecactivebreach/Farmer	Erkannt	Nicht erkannt
Rubeus	https://github.com/GhostPack/Rubeus	Erkannt	Erkannt
SafetyKatz	https://github.com/GhostPack/SafetyKatz	Erkannt	Nicht erkannt
Seatbelt	https://github.com/GhostPack/Seatbelt	Erkannt	Nicht erkannt
SharpClipboard	https://github.com/slyd0g/SharpClipboard	Nicht erkannt	Nicht erkannt
SharPersist	https://github.com/mandiant/SharPersist	Nicht erkannt	Nicht erkannt
SharpExec	https://github.com/anthemtotheego/SharpExec	Erkannt	Nicht erkannt
SharpGPOAbuse	https://github.com/FSecureLABS/SharpGPOAbuse	Erkannt	Nicht erkannt
SharpHound	https://github.com/BloodHoundAD/SharpHound	Nicht erkannt	Nicht erkannt
SharpLogger	https://github.com/djhohnstein/SharpLogger	Erkannt	Nicht erkannt
SharpMove	https://github.com/0xthirteen/SharpMove	Erkannt	Nicht erkannt
SharpRDP	https://github.com/0xthirteen/SharpRDP	Erkannt	Erkannt
SharpSecDump	https://github.com/G0ldenGunSec/SharpSecDump	Erkannt	Nicht erkannt
SharpUp	https://github.com/GhostPack/SharpUp	Nicht erkannt	Nicht erkannt
SharpView	https://github.com/tevora-threat/SharpView	Erkannt	Nicht erkannt
SharpWMI	https://github.com/GhostPack/SharpWMI	Erkannt	Nicht erkannt
StandIn	https://github.com/xforcered/StandIn	Erkannt	Nicht erkannt
WireTap	https://github.com/djhohnstein/WireTap	Nicht erkannt	Nicht erkannt

Statistiken zur Dateigröße kompilierter C#-Tools

Die folgende Tabelle zeigt die Dateigrößen von 20 beliebten öffentlichen C#-Tools zwischen den unverschleierten und verschleierten Versionen unter Verwendung von InvisibilityCloak mit verschiedenen Zeichenfolgen-Verschleierungsmethoden.