xeca

xeca ist ein Projekt, das verschlüsselte PowerShell-Payloads für offensive Zwecke erstellt.

Es ist auch möglich, positionsunabhängigen Shellcode aus DLL-Dateien zu erstellen.

Hinweis: Bitte platzieren Sie Ihren benutzerdefinierten AMSI-Bypass in src/assets/amsi-bypass.ps1.

Inhaltsverzeichnis

• xeca
  • Installation
  • Funktionsweise
  • Gegenmaßnahmen
  • Beispiele
    • Covenant
    • Empire
    • Merlin
    • Sliver
  • Danksagungen
  • Lizenz

Installation

Stellen Sie zunächst sicher, dass Rust installiert ist, und erstellen Sie dann das Projekt mit folgendem Befehl:

cargo build

Funktionsweise

1. Identifizieren und verschlüsseln Sie die Nutzlast. Laden Sie die verschlüsselte Nutzlast in ein PowerShell-Skript und speichern Sie es unter dem Namen "launch.txt".
2. Der Schlüssel zum Entschlüsseln der Nutzlast wird in einer Datei namens "safe.txt" gespeichert.
3. Führen Sie "launch.txt" auf einem entfernten Host aus
   • Das Skript ruft den vom Angreifer definierten Webserver ab, um den Entschlüsselungsschlüssel "safe.txt" zu erhalten.
   • Entschlüsseln Sie die Nutzlast im Arbeitsspeicher.
   • Führen Sie die beabsichtigte Nutzlast im Arbeitsspeicher aus.

Gegenmaßnahmen

Wenn Benutzer Zugriff auf Programme wie powershell.exe haben müssen, sollten Sie in Betracht ziehen, Sicherheitsrisiken mit Just Enough Administration und PowerShell-Protokollierung zu minimieren. Anwendungssteuerungsrichtlinien können über eine Whitelisting-Technologie wie AppLocker bereitgestellt werden.

Beispiele

Covenant

Covenant .NET-Assembly-Donut-Payload.

Empire

Empire PowerShell-Payload.

Merlin

Merlin DLL-Payload.

Sliver

Sliver Shellcode-Payload.

Danksagungen

Dieses Tool wäre ohne den Austausch von Wissen und Informationen nicht möglich. Ideen, Codefragmente und Code der folgenden Autoren sollten gewürdigt werden:
@monoxgas
@H0neyBadger
@TheWover
@stephenfewer
@dismantl
@tandasat
@cobbr

Lizenz

xeca ist unter der GPLv3 lizenziert. Einige Unterkomponenten können separate Lizenzen haben. Siehe deren jeweilige Referenzen in diesem Projekt für Details.