NimSyscallPacker / Loader

Dieses Tool wurde nach einem Vortrag auf der x33fcon veröffentlicht. Es war mein privates Hauptprojekt von 2021 - 2024 und gilt nun als veraltet und wird nicht mehr gewartet. Erwarten Sie hier keine Fehlerbehebungen oder Feature-Updates von meiner Seite. Stattdessen wird RustPack nun als kommerzielle und kontrollierte Version für geprüfte Red Teams und Pentester weiterentwickelt, die noch mehr Funktionen bietet und gleichzeitig viel OPSec-sicherer ist.

Dieser Packer kann verwendet werden, um jede C#-Assembly, PE-Datei oder Shellcode in ein Nim-Binary zu packen. Er verschlüsselt die Ziel-Payload, erstellt den entsprechenden Nim-Quellcode gemäß den angegebenen Argumenten und kompiliert ihn zu einem Nim-Binary.

Einrichtung

Ein Video – falls gewünscht – finden Sie hier: https://youtu.be/0PwIn3Nxmgo

Windows

Git muss installiert sein, damit Nim/Nimble ordnungsgemäß funktioniert.

Getestet mit Nim 2.2.10 und dem MinGW-w64 GCC 11.1.0-Bundle, das auf der Nim-Windows-Downloadseite verlinkt ist. Neuere Nim-Versionen verwenden standardmäßig eine hohe PE-Image-Basis unter Windows, was -static-Links mit relocation truncated to fit: R_X86_64_32S against .bss bricht; der Packer erzwingt jetzt -Wl,--image-base=0x10000, um statische Builds funktionsfähig zu halten, daher sollte jeder MinGW-w64-11.x-Build funktionieren. Nur x64 wird hier unterstützt – x86/--x86/--wow64 wird nicht gewartet.

Nim und MinGW (x86_64) herunterladen:
- nim-2.2.10_x64.zip
- mingw64.7z (verlinkt auf der Nim-Windows-Installationsseite)
Nim mit 7-Zip extrahieren (nicht mit dem Windows-eigenen Expand-Archive – es lässt lib\system.nim aufgrund der Namensgleichheit mit dem Verzeichnis lib\system\ stillschweigend aus). Das Nim-Zip enthält bin\7zG.exe, mit dem Sie MinGW extrahieren können.
Fügen Sie <nim>\bin und <mingw64>\bin zu Ihrer %PATH%-Umgebungsvariable hinzu. Abmelden/Anmelden (oder Shell neustarten), damit die Änderung wirksam wird.
Installieren Sie die Nimble-Abhängigkeiten: ```batch nimble install [email protected] docopt ptr_math winim https://github.com/S3cur3Th1sSh1t/nim-strenc/

Bekannte funktionierende Versionen (Stand Nim 2.2.10): nimcrypto 0.6.0, docopt 0.7.1, ptr_math 0.3.0, winim 3.9.4, nim-strenc (HEAD — das Repo hat keine getaggten Releases).

Deaktivieren Sie die Windows Defender Beispieleinreichung (der Packer weigert sich sonst zu laufen): ```powershell Set-MpPreference -SubmitSamplesConsent 2
Packer kompilieren: ```batch nim c NimSyscallLoader.nim

Wenn Sie den LLVM-Obfuscator unter Windows verwenden möchten, verwenden Sie die eingebettete modifizierte Denim-Version von denim. Installieren Sie es via denim\denim.exe setup.

Linux

Z. B. auf Kali / Debian. Der Packer erforderte historisch nim 1.6.8 + mingw-64 8.0.0-1; mit der jetzt integrierten statischen Linkumgehung --image-base=0x10000 sollten neuere Toolchains ebenfalls funktionieren. Der Windows-Build wird aktiv getestet – Linux ist auf Best-Effort-Basis.```bash apt-get install nim mingw-w64 nimble install [email protected] docopt ptr_math winim https://github.com/S3cur3Th1sSh1t/nim-strenc/

Falls `--hellsgate` auf einem neueren mingw-w64 nicht assembliert werden kann, auf `mingw-64=8.0.0-1` downgraden.

Installiere donut via `pip3 install donut-shellcode`. `denim` kann nicht von Unix aus verwendet werden, daher ist eine Obfuskation via LLVM hier nicht möglich. Gleiches gilt für Callobfuscator.

Kompiliere den Packer via `nim c -d:noRES NimSyscallLoader.nim`. Fertig. Wenn du nicht `-d:noRES` verwendest, erhältst du möglicherweise den folgenden Fehler:```
/username/.nimble/pkgs/winim-3.7.1/winim/lib/winim64.res:(.rsrc+0x48): dangerous relocation: collect2: fatal error: ld terminated with signal 11 [Speicherzugriffsfehler]
compilation terminated.

Docker Einrichtung

Muss einmal gebaut werden (dauert beim ersten Mal etwas, spätere Builds werden zwischengespeichert).

sudo docker build . -t nimsyscallloader

Dann führen Sie den Packer aus mit:

sudo docker run -v $(pwd):/shared nimsyscallloader <ARGUMENTS> --output=/shared/packed.exe wobei $(pwd) das Verzeichnis auf dem Host-System ist, das mit dem Container geteilt wird, d.h. das Verzeichnis, in dem die zu verschlüsselnden Dateien liegen sollen und in dem die Ausgabe gespeichert wird.

Drittanbieter-Abhängigkeiten

Wenn Sie Code-Signing-Zertifikate über LimeLighter nutzen möchten, benötigen Sie außerdem die folgenden installierten Dinge in Ihrem %PATH%: openssl - (für Windows) zum Beispiel von hier osslsigncode - zum Beispiel von hier

Support für Drittanbieter-Tools

Ich werde keinen Support für Probleme in den hier verwendeten Drittanbieter-Tools geben. Bitte eröffnen Sie daher ein Issue in den entsprechenden Repositories, wenn Sie Probleme damit haben. Verwendete Drittanbieter-Tools:

Sie können entweder meine vorkompilierten Binärdateien verwenden oder sie natürlich selbst aus den obigen Links kompilieren.