Windows x64 Remote Access Trojan (RAT)

Zielsetzung

Entwicklung eines Windows x64 RAT unter Verwendung von CVE-2023-38831 (WinRAR < 6.23) und Shellcode-Ausnutzung zur Umgehung von Windows Defender.

Systembeschreibung

1. Shellcode-Initialisierung
   • Shellcode mittels Windows/x64 - PIC Null-Free TCP Reverse Shell Shellcode generieren.
2. main.cpp Erklärung
   • Shellcode in den Arbeitsspeicher injizieren und ausführen, um eine Reverse-TCP-Verbindung herzustellen.
3. main.cpp kompilieren und verschlüsseln
   • C++-Datei in eine ausführbare Datei kompilieren und diese verschlüsseln.
4. WinRAR CVE-2023-38831 ausnutzen
   • Die Sicherheitslücke nutzen, um den verschlüsselten RAT herunterzuladen, zu entschlüsseln und auszuführen.
5. Entschlüsselungs- und Ausführungsskript (decrypt_file.ps1)
   • Die heruntergeladene ausführbare Datei entschlüsseln und ausführen.
6. Ausführung
   • Die präparierte PDF/Image öffnen, um die Reverse-Shell-Verbindung auszulösen.

Exploit-Anleitung

Warnung: Diese Informationen dienen ausschließlich Bildungszwecken. Unautorisierte Nutzung dieser Techniken ist illegal und unethisch.

Schritt-für-Schritt-Anleitung

1. Shellcode erstellen

   • Verwenden Sie 51721.py, um den initialen Shellcode zu generieren.

2. Shellcode modifizieren und kompilieren

   • Nehmen Sie notwendige Änderungen am Shellcode vor.
   • Kompilieren Sie den modifizierten Code.

3. Ausführbare Datei verschlüsseln

   • Verwenden Sie decrypt_file.ps1, um die kompilierte ausführbare Datei zu verschlüsseln:
     root@kitploit:~

     .\decrypt_file.ps1 -inputFile .\main.exe -outputFile .\enc_main.exe
     

4. WinRAR-Archiv erstellen

   • Verwenden Sie cve-2023-38831-exp-gen.py, um das Archiv zu erstellen:
     root@kitploit:~

     python cve-2023-38831-exp-gen.py NetworkSecuritySyllabus.pdf script.bat NetworkSecuritySyllabus.rar
     

5. Python-Server für Dateidownload einrichten

   • Navigieren Sie zum Verzeichnis, das enc_main.exe und decrypt_file.ps1 enthält.
   • Starten Sie einen Python-HTTP-Server:
     root@kitploit:~

     python3 -m http.server 8000
     

Haftungsausschluss

Diese Informationen werden ausschließlich zu Bildungszwecken bereitgestellt. Die Nutzung dieses Exploits ohne ausdrückliche Erlaubnis ist illegal und unethisch. Der Autor übernimmt keine Verantwortung für jeglichen Missbrauch dieser Informationen.