Herramienta de Evasión de Antivirus

AVET ya no se desarrolla debido a limitaciones técnicas y de tiempo.

AVET es una herramienta de evasión de antivirus, desarrollada para facilitar la vida de los pentesters y para experimentar con técnicas de evasión de antivirus, así como otros métodos utilizados por el software malicioso. Para una visión general de las nuevas características en v2.4, así como de los incrementos de versiones anteriores, consulte el archivo CHANGELOG.

Tabla de Contenidos

• Instalación

• Docker

• AVET de forma sencilla

• AVET de forma normal

• Documentación (haga clic para expandir)

  • Métodos de recuperación de datos
  • Cifrado y Codificación
  • Evasión de sandbox
  • Ejecución de comandos adicionales
  • Herramientas auxiliares
  • AVET y metasploit psexec
  • Ejemplos Adversarios

• Más

Algunas características

• al ejecutar un archivo .exe creado con msfpayload y compañía, el archivo a menudo será reconocido por el software antivirus
• AVET es una herramienta de evasión de antivirus dirigida a máquinas Windows con archivos ejecutables
• ahora se pueden usar diferentes tipos de payloads de entrada: shellcode, exe y dlls
• más técnicas disponibles: inyección de shellcode/dll, process hollowing y más
• métodos flexibles de recuperación para payload, clave de descifrado, etc.
• uso como dropper
• Encadenar múltiples iteraciones de AVET le permite agregar múltiples capas de evasión, si es necesario
• combinación de técnicas: descargar su payload cifrado a través de powershell, mientras se proporciona la clave de descifrado mediante un argumento de línea de comandos en el momento de la ejecución, y finalmente inyectar su payload en otro proceso, eligiendo entre múltiples técnicas
• comprobaciones básicas de sandbox
• generación de ejemplos adversarios contra detectores estáticos basados en aprendizaje automático
• ejecute todos los scripts de compilación disponibles con build_script_tester.py, también podría ser interesante para investigadores para construir un conjunto de muestras "maliciosas" utilizando diferentes técnicas de evasión e inyección

Nota Importante

No todas las técnicas evadirán todos los motores antivirus. Si una técnica o script de compilación no funciona, pruebe con otra. ¡Siéntase libre de experimentar! Después de todo, esto es una caja de herramientas; sin embargo, debe manejar el martillo usted mismo.

Instalación

¡Las instrucciones de instalación aplican para Kali 64bit y tdm-gcc!

Puede usar el script de configuración:```bash ./setup.sh

Esto debería iniciarte automáticamente instalando/configurando wine e instalando tdm-gcc.
Sin embargo, pronto tendrás que hacer clic en la GUI del instalador de tdm-gcc; la configuración estándar debería ser suficiente.
El script también preguntará si deseas instalar las dependencias de AVET, que son necesarias para usar algunos de los scripts de compilación. Las dependencias obtenidas se colocarán en carpetas separadas junto a la carpeta avet.

Las dependencias obtendrán las últimas versiones de:
- [pe_to_shellcode](https://github.com/hasherezade/pe_to_shellcode)
- [mimikatz](https://github.com/gentilkiwi/mimikatz)
- [DKMC](https://github.com/Mr-Un1k0d3r/DKMC)

Si por alguna razón deseas instalar wine y tdm-gcc manualmente:
- [Cómo instalar tdm-gcc con wine](https://govolution.wordpress.com/2017/02/04/using-tdm-gcc-with-kali-2/)

## Docker

Si no estás usando Kali o no deseas instalar Metasploit en tu sistema, puedes usar el contenedor Docker en su lugar.
El contenedor encapsula Metasploit y avet, y las muestras se crearán en tu directorio actual.
También es posible usar un editor de texto gráfico como gedit.

Construyendo el contenedor:```bash
sudo docker build -t avet:v0.1 .

Uso:```bash sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet:v0.1 /bin/bash

Para una mejor experiencia, se recomienda crear un alias para esto.```bash
# In your .bash_profile, .bashrc or .bash_aliases

alias avet='sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet /bin/bash'

AVET la manera fácil

avet.py es una pequeña utilidad de Python que fue diseñada para asistirte en el uso de la herramienta.

Enumera todos los scripts que están presentes actualmente en la carpeta build. Después de seleccionar uno, podrás avanzar paso a paso por el script línea por línea, teniendo la oportunidad de modificar el contenido sobre la marcha.

Esto último es especialmente útil ya que puedes definir nuevas variables LHOST y LPORT para msfvenom cada vez que ejecutas un script de compilación a través de fabric. Puedes definir valores predeterminados de LHOST y LPORT en el archivo /build/global_connect_config.sh, los cuales se usan si no los redefines.

Estas modificaciones son temporales, lo que significa que cualquier cambio que hagas no persistirá en el script de compilación en disco. La versión modificada se ejecuta una vez y se construye tu ejecutable.

                   .|        ,       +
         *         | |      ((             *
                   |'|       `    ._____
     +     ___    |  |   *        |.   |' .---"|
   _    .-'   '-. |  |     .--'|  ||   | _|    |
.-'|  _.|  |    ||   '-__  |   |  |    ||      |
|' | |.    |    ||       | |   |  |    ||      |