LOLSpoof

LOLSpoof ist ein interaktives Shell-Programm, das automatisch die Befehlszeilenargumente des gestarteten Prozesses fälscht. Rufen Sie einfach Ihre verdächtig aussehende Befehlszeile LOLBin auf (z. B. powershell -w hidden -enc ZwBlAHQALQBwAHIAbwBjAGUA....) und LOLSpoof stellt sicher, dass die Telemetrie der Prozesserstellung legitim und klar erscheint.

Nur für 64-Bit-LOLBins verwenden

Warum

Die Prozessbefehlszeile ist eine stark überwachte Telemetrie, die von AV/EDRs, SOC-Analysten oder Bedrohungsjägern gründlich geprüft wird.

Wie

1. Bereitet die gefälschte Befehlszeile aus der echten vor: lolbin.exe " " * sizeof(real arguments)
2. Startet diesen angehaltenen LOLBin mit der gefälschten Befehlszeile
3. Ermittelt die Adresse des entfernten PEB
4. Ermittelt die Adresse der RTL_USER_PROCESS_PARAMETERS-Struktur
5. Ermittelt die Adresse des Unicode-Puffers der Befehlszeile
6. Überschreibt die gefälschte Befehlszeile mit der echten
7. Setzt den Hauptthread fort

Opsec-Überlegungen

Obwohl diese einfache Technik hilft, die Erkennung der Befehlszeile zu umgehen, kann sie andere verdächtige Telemetrie einführen:

• Erstellung eines angehaltenen Prozesses
• Der neue Prozess hat nachfolgende Leerzeichen (aber es ist wirklich einfach, stattdessen ein wiederholtes Zeichen oder sogar zufällige Daten zu verwenden)
• Schreiben in den gestarteten Prozess mit WriteProcessMemory

Build

Erstellt mit Nim 1.6.12 (Kompilieren mit Nim 2.X führt zu Fehlern!)

nimble install winim

Bekanntes Problem

Programme, die zuvor gedruckte Konsolenmeldungen löschen oder ändern (z. B. timeout.exe 10), stören das Programm. Wenn solche Befehle verwendet werden, müssen Sie die Konsole neu starten. Ich weiß nicht, wie ich das beheben kann, bin offen für Vorschläge.