InvisibilityCloak

Kit de herramientas de ofuscación de prueba de concepto para herramientas de post-explotación en C#. Esto realizará las siguientes acciones para un proyecto de C# en Visual Studio.

• Cambiar el nombre de la herramienta
• Cambiar el GUID del proyecto
• Ofuscar cadenas compatibles en los archivos de código fuente según el método de ofuscación ingresado por el usuario
• Eliminar comentarios de una línea (p. ej., // esto es un comentario)
• Eliminar la opción de cadena PDB para el ensamblado .NET compilado en modo release

Blog Post: https://securityintelligence.com/posts/invisibility-cloak-obfuscate-c-tools-evade-signature-based-detection

Candidatos de cadena no ofuscados

Los siguientes candidatos de cadena no se incluyen en la ofuscación

• Cadenas de menos de 3 caracteres
• Cadenas que usan interpolación de cadenas (p. ej., Console.WriteLine($"Hello, {name}! Today is {date.DayOfWeek}, it's {date:HH:mm} now.");)
• Sentencias case, ya que deben ser valores estáticos
• Variables const, ya que deben ser valores estáticos
• Cadenas en firmas de métodos, ya que deben ser valores estáticos
• Línea con " => " usada en sentencias switch, ya que debe ser un valor estático
• is en una sentencia if al hacer comparaciones, ya que los valores comparados deben ser estáticos
• Cadenas dentro de expresiones regulares
• Cadenas override, ya que deben ser valores estáticos
• Los siguientes casos extremos aleatorios para cadenas, ya que han causado problemas al codificar/decodificar
  • Cadena que comienza o termina con '
  • ""' en la línea
  • + @" en la línea
  • """ en la línea
  • "" en la línea
  • Encoding.Unicode.GetString en la línea
  • Encoding.Unicode.GetBytes en la línea
  • Encoding.ASCII.GetBytes en la línea
  • Línea que comienza con " y termina con ")]. Esto se usa típicamente para parámetros de línea de comandos y debe ser un valor estático.

Información de soporte

• Windows
• Linux (sistemas basados en Debian)
• Python3

Argumentos/Opciones

• -d, --directory - directorio donde se encuentra tu proyecto de Visual Studio
• -m, --method - método de ofuscación (base64, rot13, reverse)
• -n, --name - nombre de tu nueva herramienta
• -h, --help - menú de ayuda
• --version - obtener la versión de la herramienta

Uso/Ejemplos

Ejecutar InvisibilityCloak con ofuscación de cadenas

Ofuscación de cadenas Base64

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m base64

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m base64

Ofuscación de cadenas ROT13

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m rot13

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m rot13

Ofuscación de cadenas inversa

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m reverse

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m reverse

Ejecutar InvisibilityCloak sin ofuscación de cadenas

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool"

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool"

Estadísticas de detección basada en firmas

La siguiente tabla muestra las estadísticas de detección basada en firmas entre las versiones sin ofuscar y ofuscadas de 20 herramientas C# públicas populares con InvisibilityCloak.

Esto es específicamente para Microsoft Defender (versión gratuita), y preciso al 14 de abril de 2022.

Herramienta	Enlace	Sin ofuscar	Ofuscado con InvisibilityCloak
ADCSPwn	https://github.com/bats3c/ADCSPwn	Detectado	No detectado
Certify	https://github.com/GhostPack/Certify	Detectado	No detectado
Farmer	https://github.com/mdsecactivebreach/Farmer	Detectado	No detectado
Rubeus	https://github.com/GhostPack/Rubeus	Detectado	Detectado
SafetyKatz	https://github.com/GhostPack/SafetyKatz	Detectado	No detectado
Seatbelt	https://github.com/GhostPack/Seatbelt	Detectado	No detectado
SharpClipboard	https://github.com/slyd0g/SharpClipboard	No detectado	No detectado
SharPersist	https://github.com/mandiant/SharPersist	No detectado	No detectado
SharpExec	https://github.com/anthemtotheego/SharpExec	Detectado	No detectado
SharpGPOAbuse	https://github.com/FSecureLABS/SharpGPOAbuse	Detectado	No detectado
SharpHound	https://github.com/BloodHoundAD/SharpHound	No detectado	No detectado
SharpLogger	https://github.com/djhohnstein/SharpLogger	Detectado	No detectado
SharpMove	https://github.com/0xthirteen/SharpMove	Detectado	No detectado
SharpRDP	https://github.com/0xthirteen/SharpRDP	Detectado	Detectado
SharpSecDump	https://github.com/G0ldenGunSec/SharpSecDump	Detectado	No detectado
SharpUp	https://github.com/GhostPack/SharpUp	No detectado	No detectado
SharpView	https://github.com/tevora-threat/SharpView	Detectado	No detectado
SharpWMI	https://github.com/GhostPack/SharpWMI	Detectado	No detectado
StandIn	https://github.com/xforcered/StandIn	Detectado	No detectado
WireTap	https://github.com/djhohnstein/WireTap	No detectado	No detectado

Estadísticas de tamaño de herramientas C# compiladas

La siguiente tabla muestra los tamaños de archivo de 20 herramientas C# públicas populares entre las versiones sin ofuscar y ofuscadas usando InvisibilityCloak con varios métodos de ofuscación de cadenas.