BlobRunner

BlobRunner ist ein einfaches Werkzeug, um Shellcode, der während der Malware-Analyse extrahiert wurde, schnell zu debuggen.
BlobRunner reserviert Speicher für die Zieldatei und springt zur Basis (oder einem Offset) des reservierten Speichers. Dies ermöglicht es einem Analysten, mit minimalem Aufwand schnell in die extrahierten Artefakte einzusteigen.

Um BlobRunner zu verwenden, kannst du die kompilierte ausführbare Datei von der Releases-Seite herunterladen oder mit den folgenden Schritten selbst erstellen.

Erstellen

Das Erstellen der ausführbaren Datei ist unkompliziert und relativ schmerzlos.

Windows

Anforderungen

• Lade Microsoft Visual C++ Build Tools oder Visual Studio herunter und installiere es

Erstellungsschritte

• Öffne die Visual Studio-Eingabeaufforderung
• Navigiere zu dem Verzeichnis, in dem BlobRunner ausgecheckt ist
• Erstelle die ausführbare Datei mit folgendem Befehl:

cl blobrunner.c

Erstellen von BlobRunner x64

Das Erstellen der x64-Version ist praktisch identisch, verwendet jedoch die x64-Tools.

• Öffne die x64 Visual Studio-Eingabeaufforderung
• Navigiere zu dem Verzeichnis, in dem BlobRunner ausgecheckt ist
• Erstelle die ausführbare Datei mit folgendem Befehl:

 cl /Feblobrunner64.exe /Foblobrunner64.out blobrunner.c

Verwendung

Zum Debuggen:

• Öffne BlobRunner in deinem bevorzugten Debugger.
• Übergib die Shellcode-Datei als ersten Parameter.
• Setze einen Haltepunkt vor dem Sprung in den Shellcode
• Springe in den Shellcode

BlobRunner.exe shellcode.bin

Debuggen in Datei an einem bestimmten Offset.

BlobRunner.exe shellcode.bin --offset 0x0100

Debuggen in Datei ohne Pause vor dem Sprung. Warnung: Stelle sicher, dass du einen Haltepunkt vor dem Sprung gesetzt hast.

BlobRunner.exe shellcode.bin --nopause

Just-In-Time (JIT) Debugger

Der optionale Parameter --jit kann verwendet werden, um den Shellcode mit dem konfigurierten Just-In-Time (JIT)-Debugger zu debuggen. Um den Debugger auszulösen, entzieht BlobRunner dem neu zugewiesenen Speicherbereich die Ausführungsberechtigung. Dies führt dazu, dass das Programm eine AccessViolation-Ausnahme (0xC0000005) auslöst, wenn versucht wird, den geladenen Shellcode auszuführen.

Anleitungen zur Konfiguration des JIT-Debuggers unter Windows findest du hier. Für x64Dbg siehe setjit oder setjitauto.

Beispiel:

BlobRunner.exe shellcode.bin --jit

Sobald der Debugger geladen ist, gewähre dem Bereich Ausführungsberechtigung. Mit x64Dbg kannst du den Befehl setpagerights unter Verwendung der von BlobRunner zurückgegebenen Adresse ausführen.

setpagerights <region>, ExecuteReadWrite

Debuggen von x64 Shellcode

Inline-Assembler wird vom x64-Compiler nicht unterstützt. Um das Debuggen von x64-Shellcode zu unterstützen, erstellt der Loader einen angehaltenen Thread, der es dir ermöglicht, einen Haltepunkt am Thread-Eintritt zu setzen, bevor der Thread fortgesetzt wird.

Remote-Debugging von Shell-Blobs (IDAPro)

Der Prozess ist praktisch identisch mit dem lokalen Debuggen von Shellcode – mit dem Unterschied, dass du die Shellcode-Datei auf das entfernte System kopieren musst. Wenn die Datei in denselben Pfad kopiert wird, von dem aus du win32_remote.exe ausführst, musst du den Dateinamen als Parameter verwenden. Andernfalls musst du den Pfad zur Shellcode-Datei auf dem entfernten System angeben.

Shellcode-Beispiele

Du kannst schnell Shellcode-Beispiele mit dem Metasploit-Tool msfvenom generieren.

Generieren einer einfachen Windows-Exec-Payload.

msfvenom -a x86 --platform windows -p windows/exec cmd=calc.exe -o test2.bin

Feedback / Hilfe

• Bei Fragen, Kommentaren oder Wünschen findest du uns auf Twitter: @seanmw oder @herrcore
• Pull-Requests sind willkommen!