AceLdr - Speicherscanner vermeiden

Ein positionsunabhängiger reflektiver Loader für Cobalt Strike. Null Ergebnisse von Hunt-Sleeping-Beacons, BeaconHunter, BeaconEye, Patriot, Moneta, PE-sieve, oder MalMemDetect.

Funktionen

Einfach zu bedienen

Importiere ein einzelnes CNA-Skript vor der Generierung von Shellcode.

Dynamische Speicherverschlüsselung

Erstellt einen neuen Heap für alle Allokationen von Beacon und verschlüsselt Einträge vor dem Ruhezustand (sleep).

Code-Verschleierung und -Verschlüsselung

Ändert den Speicher, der CS-ausführbaren Code enthält, auf nicht ausführbar und verschlüsselt ihn (FOLIAGE).

Spoofing der Rücksprungadresse bei Ausführung

Bestimmte WinAPI-Aufrufe werden mit einer gefälschten Rücksprungadresse ausgeführt (InternetConnectA, NtWaitForSingleObject, RtlAllocateHeap).

Schlaf ohne Schlaf

Verzögerte Ausführung mittels WaitForSingleObjectEx.

RC4-Verschlüsselung

Die gesamte Verschlüsselung erfolgt mit SystemFunction032.

Bekannte Probleme

• Nicht kompatibel mit Loadern, die darauf angewiesen sind, dass der Shellcode-Thread am Leben bleibt.

Referenzen

Dieses Projekt wäre ohne Folgendes nicht möglich gewesen:

• FOLIAGE
• x64 Rücksprungadressen-Spoofing (Quelle + Erklärung)

Weitere Funktionen und Inspiration stammen aus Folgendem:

• https://www.arashparsa.com/bypassing-pesieve-and-moneta-the-easiest-way-i-could-find/
• https://github.com/secidiot/TitanLdr
• https://github.com/JLospinoso/gargoyle
• https://www.forrest-orr.net/post/masking-malicious-memory-artifacts-part-ii-insights-from-moneta
• https://www.arashparsa.com/hook-heaps-and-live-free/
• https://blog.f-secure.com/hunting-for-gargoyle-memory-scanning-evasion/
• https://www.elastic.co/blog/detecting-cobalt-strike-with-memory-signatures