blenny

Blenny es una herramienta de prueba de concepto de ofuscación de payloads para Windows que oculta datos de payload ejecutables dentro del icono del ejecutable. Debe su nombre al pez blenio de dientes de sable, que imita el comportamiento y la apariencia de los peces limpiadores para cazar a peces desprevenidos.

¿Por qué?

No recuerdo exactamente cómo va la historia, pero un hacker llamado retr0id (@DavidBuchanan314) propuso la idea de ocultar un payload dentro del icono de un ejecutable. Debido a varias peculiaridades de los archivos PNG—y a que los archivos de icono de Windows pueden contener datos PNG en su interior—me di cuenta de que podía implementar esta idea con bastante facilidad; solo requeriría un poco de esfuerzo. Creé la biblioteca Facade—una biblioteca con el propósito específico de generar payloads en archivos PNG—para este mismo fin.

El resultado final es un archivo de payload compacto y un sistema de compilación que se puede utilizar para personalizar un payload básico de tipo dropper/ejecutor para Windows.

Adquisición

Blenny utiliza la biblioteca Facade para crear payloads a partir de archivos de icono, por lo que al clonar el repositorio, es necesario inicializar el submódulo (y sus submódulos):

$ git clone https://github.com/frank2/blenny.git
$ cd blenny
$ git submodule update --init --recursive

Esto debería ser todo lo que necesitas para inicializar el repositorio para la compilación.

Compilación

Este proyecto fue diseñado literalmente pensando en CMake, por lo que antes de compilar este proyecto, es un requisito absoluto obtener e instalar CMake. Probablemente no funcionará de otra manera (a menos que estés realmente empeñado en configurar manualmente todas las definiciones de CMake por ti mismo). También necesitarás una copia de Visual Studio para compilar el proyecto.

Este proyecto utiliza numerosas variables de CMake para configurar el proceso de compilación. Para obtener un payload de demostración básico, en el que una adorable oveja aterrizará en tu escritorio, puedes ejecutar lo siguiente en el directorio principal del proyecto:

$ mkdir build
$ cd build
$ cmake -D BLENNY_ZTEXT_PAYLOAD=ON ../
$ cmake --build ./ --config Release
$ ./Release/blenny.exe

Por defecto, esto extrae un ejecutable llamado "blenny.exe" del icono del ejecutable al directorio temporal del usuario actual y luego lo ejecuta. El payload predeterminado es el DesktopPet de @AdrianoTiger, una reconstrucción dedicada del clásico esheep.exe de los años 90.

¡Todas las variables que hacen posible esto son personalizables! Es necesario establecer una variable de payload (BLENNY_TRAILING_PAYLOAD, BLENNY_TEXT_PAYLOAD, BLENNY_ZTEXT_PAYLOAD o BLENNY_STEGO_PAYLOAD). Esto controla cómo se introduce finalmente el payload en el icono. Consulta la biblioteca Facade para obtener detalles sobre estas técnicas. Por ejemplo, para usar tu propio payload, haz lo siguiente:

$ cmake -D BLENNY_PAYLOAD_FILE="path/to/your/payload.exe" -D BLENNY_ZTEXT_PAYLOAD=ON ../
$ cmake --build ./ --config Release

Aquí tienes una tabla de todas las diferentes opciones de configuración que puedes establecer, sus valores predeterminados y qué hacen.