Nemesis

Windows-Tool, das ich gebaut habe, weil ich es leid war, in Malware-Samples auf Jlaive-Forks zu starren, ohne dass es etwas Öffentliches gibt, um sie zur Laufzeit tatsächlich auseinanderzunehmen.

Kurz gesagt: Es ist ein .NET-Prozessmonitor, der die CLR auf der nativen Ebene hookt, reflektive Assembly-Loads verfolgt und PEs automatisch direkt aus dem Speicher dumpt. Außerdem prüft es die AMSI- und ETW-Integrität gegen die Original-Binaries auf der Festplatte und erkennt Bypass-Techniken wie clr.dll-String-Patching und direkte LoadFromBuffer-Nutzung.

Wo findet man Samples? Ich empfehle, https://tria.ge anzuschauen (keine Werbung) – dort kann man jedes gewünschte Sample herunterladen und nach Familie filtern.

Warum der Name?

Du fragst dich vielleicht, warum der Name Nemesis?

Weil er den genauen Zweck des Tools repräsentiert. Eine Nemesis ist etwas, das als ständige Herausforderung oder Verhängnis für einen Gegner steht – und das ist die Idee hinter diesem Projekt.

In der griechischen Mythologie war Nemesis der Geist der göttlichen Vergeltung, derjenige, der jeden zur Rechenschaft zog, der zu arrogant wurde oder sich für unantastbar hielt. Etwas zu treffend für Malware, die damit prahlt, „FUD" zu sein, wenn du mich fragst.

Warum das existiert

Ich bin Malware-Analyst. Wenn man diesen Job (für mich ein Hobby) lange genug macht, sieht man immer wieder dieselben Loader-Ketten – besonders seit Jlaive (auch Crybat genannt) explodiert ist und jeder Script-Kiddie es geforkt hat.

Das Muster ist dumm einfach, aber verdammt nervig zu handhaben:

something.bat  →  obfuscated powershell  →  csharp stub  →  your actual payload

Du doppelklickst auf eine .bat, die wie ein Wortsalat aussieht. cmd startet PowerShell mit einer Wand aus Müll. PowerShell entschlüsselt/dekomprimiert einen .NET-Stub (AES, Gzip, Base64). Dieser Stub patcht AMSI + ETW, lädt die echte EXE/DLL reflektiv in den Speicher, und fertig – nichts Freundliches landet jemals in brauchbarer Form auf der Festplatte.

Das hat mich gestört. Es gibt nicht wirklich ein gutes öffentliches Tool, das genau diese Kette bekämpft – dort hookt, wo die .NET-Payload tatsächlich materialisiert, sie dumpt, bevor der Prozess sich selbst auffrisst, und die AMSI/ETW-Patches fängt, die diese Stubs immer machen. Also habe ich Nemesis gebaut.

Keine Wunderwaffe. Wird deine Sandbox nicht ersetzen. Aber es gibt dir etwas Echtes, das du gegen eine verdächtige .bat auf einer Testbox laufen lassen und tatsächlich Artefakte herausziehen kannst.

Was es tatsächlich macht

Launcher (Launcher.exe)

• erstellt dein Ziel suspendiert (EXE, BAT, CMD, egal was)
• injiziert Nemesis.dll, bevor der Main-Thread läuft
• wartet, bis Nemesis meldet, dass es bereit ist
• setzt fort. Wenn das Ziel PowerShell-Kinder startet, kann der Launcher diese ebenfalls injizieren

Nemesis DLL (Nemesis.dll)

• hookt CLR-Ladepfade, die Jlaive-artige Stubs tatsächlich treffen:
  • nLoadImage
  • nLoadFile
  • AssemblyNative::LoadFromBuffer (Pattern aufgelöst über nLoadImage)
• wenn eine reflektive PE im Speicher auftaucht → reiht einen Dump in %TEMP%\Nemesis_dumps ein
• vergleicht Live-amsi.dll / ntdll.dll-Exporte mit den Kopien auf der Festplatte (fängt den klassischen ret-Patch auf AmsiScanBuffer / EtwEventWrite)
• AMSI-Check schaut auch auf CLR-.rdata-Strings, wenn CLR geladen ist (manche Bypasses patchen stattdessen diese; dazu gibt es ein großartiges vxug-Paper mit dem Titel: 2024-11-21 - New AMSI Bypss Technique Modifying CLRDLL in Memory.pdf)
• loggt in die Konsole (farbig) + %TEMP%\Nemesis.log; es hat auch ENABLE_VIRTUAL_TERMINAL_PROCESSING, um Probleme mit einer – sagen wir mal – seltsamen Konsole zu vermeiden :D

Im Grunde: Lass die BAT-Kette laufen, fange die Payload dort, wo der Crypter sie tatsächlich lädt, und logge die Evasion-Tricks unterwegs.

Beweis:

Build

Benötigt Visual Studio 2022+ mit C++ Desktop + MASM (x64).

Öffne Nemesis.slnx, wähle Release | x64, baue die Solution.

Auf einem echten Ziel ausführen

Das ist der eigentliche Anwendungsfall – richte es auf eine verdächtige BAT und schau, was herausfällt:

cd x64\Release
.\Launcher.exe "C:\path\to\suspicious.bat"

Zusätzliche Argumente nach -- werden an das Ziel weitergegeben:

.\Launcher.exe myapp.exe -- --some-flag

Benutzerdefinierter DLL-Pfad:

.\Launcher.exe --dll C:\path\Nemesis.dll myapp.exe

Artefakte:

• Logs → %TEMP%\Nemesis.log
• gedumpte PEs → %TEMP%\Nemesis_dumps

Was Nemesis ist / nicht ist

ist:

• ein Laufzeit-Analysehelfer für Jlaive-artige Crypter (BAT → PS1 → C#-Ketten)
• nützlich auf einer Lab-VM, wenn man ein Sample hat und In-Memory-Dumps + AMSI/ETW-Telemetrie will
• offen für andere Analysten zum Nutzen, Erweitern, Beschweren

ist nicht:

• ein EDR-Ersatz
• garantiert jede Fork-Variante zu fangen (Obfuskationsänderungen, neue Bypasses, z. B. patchless AMSI/ETW, weil es dafür derzeit nicht gemacht ist und ich plane, das in Zukunft zu ändern – vielleicht wird daraus irgendwann ein Managed-Language-Toolkit)

Hinweise

• derzeit nur x64 für die CLR-ASM-Detours
• cmd.exe-Hosts haben oft gar keine CLR, Nemesis signalisiert trotzdem Bereitschaft, damit der Launcher nicht hängt; die echte Arbeit passiert, wenn PowerShell/dotnet auftaucht
• Rebuild schlägt mit LNK1104 fehl? Irgendetwas hat noch nemesis.dll geladen – töte das Ziel und baue neu
• pwsh.exe-vcpkg-Rauschen während des Builds ist harmlos, ignoriere es

Weiterführende Lektüre (das Jlaive-Ökosystem)

Wenn du verstehen willst, wogegen du kämpfst:

• Trend Micro über BatCloak / Jlaive — der BAT → PS1 → C#-Schichtkuchen
• Fortinet über ScrubCrypt — Jlaives nerviger Nachfolger; falls es dich interessiert, was bei ScrubCrypt etwas anders war: die Tatsache, dass sie Befehle mit dem Pipe-Zeichen in der .bat weitergeleitet haben – funktioniert ziemlich gut...
• Unprotect.it — ScrubCrypt — Technik-Aufschlüsselung
• https://github.com/backdoorskid/ClrAmsiScanPatcher – findet den .NET-String, wie zuvor erwähnt; ich empfehle, diese .pdf-Datei zu lesen :)

Disclaimer

Durch die Nutzung von Nemesis akzeptierst du dies. Es wird wie besehen und ohne Gewährleistung bereitgestellt – du trägst das gesamte Risiko.