HellHall

HellsHall – Ein weiterer Weg, um saubere Syscalls zu erhalten

HellsHall ist eine Kombination aus HellsGate und indirekten Syscalls.

Wie es funktioniert

Zuerst prüft HellsHall, ob die Syscall-Adresse gehookt ist, und versucht, die Syscall-Nummer abzurufen, indem es das Vorhandensein der folgenden Bytes prüft:

0x4C, 0x8B, 0xD1, 0xB8, die mov r10,rcx && mov eax,SSn repräsentieren. So sollte jeder Syscall beginnen.

An diesem Punkt übernimmt HellsGate einfach die Syscall-SSn (Syscall-Nummer) und verwendet sie direkt, was dazu führt, dass ein Syscall außerhalb des Adressraums von ntdll.dll aufgerufen wird. Das ist an sich ein IoC und kann verwendet werden, um solche Syscalls zu erkennen. Erkennungsbeispiele:

• Erkennung manueller Syscalls aus dem User Mode

• Erkennung direkter Syscalls mit Frida

HellsHall hingegen sucht nach einer syscall-Anweisung in der Nähe der Adresse der Syscall-Funktion und speichert dann die Adresse dieser syscall-Anweisung in einer globalen Variablen, zu der später gesprungen wird, anstatt diese Anweisung direkt aus der asm-Datei auszuführen. Dadurch wird die Syscall-Funktion innerhalb des Adressraums von ntdll.dll ausgeführt, mit dem einzigen Unterschied, dass sie nicht gehookt ist.

Verbesserung

TartarusGate kann verwendet werden, um diese Technik weiter zu verbessern.

HellsGate

HellsHall

Vorteil

Umgehen der unten abgebildeten EDR mit dieser HellsHall-Implementierung, die die Syscalls NtAllocateVirtualMemory, NtProtectVirtualMemory und NtCreateThreadEx mit einem RWX-Abschnitt verwendet.

Code

Das GitHub-Repository ist hier zu finden.

Autoren

• NULL (@NUL0x4C)
• mr.d0x (@mrd0x)