Shhhloader

Shhhloader es un cargador de shellcode en desarrollo. Toma shellcode sin procesar como entrada y compila un stub en C++ que realiza varias cosas para intentar evadir AV/EDR. El constructor Python incluido funcionará en cualquier sistema Linux que tenga Mingw-w64 instalado.

Edición 25/1/24: Shhhloader ahora es compatible con la variante 7 de PoolParty! También se agregó una opción que combinará PoolParty con Module Stomping para evitar que el shellcode ejecutado resida en memoria no respaldada. Vea a continuación un video que demuestra este nuevo método de inyección contra Defender ATP:

Ver Video

┳┻|
┻┳|
┳┻|
┻┳|
┳┻| _
┻┳| •.•)  - Shhhhh, AV might hear us! 
┳┻|⊂ﾉ   
┻┳|
usage: Shhhloader.py [-h] [-p explorer.exe] [-m QueueUserAPC] [-u] [-w] [-nr] [-ns] [-l] [-v] [-sc GetSyscallStub] [-d] [-dp apphelp.dll] [-s domain]
                     [-sa testlab.local] [-o a.exe] [-pp explorer.exe] [-ppv] [-np] [-cp] [-td ntdll.dll] [-ef NtClose]
                     file

ICYGUIDER'S CUSTOM SYSCALL SHELLCODE LOADER

positional arguments:
  file                  File containing raw shellcode

options:
  -h, --help            show this help message and exit
  -p explorer.exe, --process explorer.exe
                        Process to inject into (Default: explorer.exe)
  -m QueueUserAPC, --method QueueUserAPC
                        Method for shellcode execution (Options: PoolPartyModuleStomping, PoolParty, ThreadlessInject, ModuleStomping, QueueUserAPC,
                        ProcessHollow, EnumDisplayMonitors, RemoteThreadContext, RemoteThreadSuspended, CurrentThread) (Default: QueueUserAPC)
  -u, --unhook          Unhook NTDLL in current process
  -w, --word-encode     Save shellcode in stub as array of English words
  -nr, --no-randomize   Disable syscall name randomization
  -ns, --no-sandbox     Disable sandbox checks
  -l, --llvm-obfuscator
                        Use Obfuscator-LLVM to compile stub
  -v, --verbose         Enable debugging messages upon execution
  -sc GetSyscallStub, --syscall GetSyscallStub
                        Syscall execution method (Options: SysWhispers2, SysWhispers3, GetSyscallStub, None) (Default: GetSyscallStub)
  -d, --dll             Generate a DLL instead of EXE
  -dp apphelp.dll, --dll-proxy apphelp.dll
                        Create Proxy DLL using supplied legitimate DLL (File must exist in current dir)
  -s domain, --sandbox domain
                        Sandbox evasion technique (Options: sleep, domain, hostname, username, dll) (Default: sleep)
  -sa testlab.local, --sandbox-arg testlab.local
                        Argument for sandbox evasion technique (Ex: WIN10CO-DESKTOP, testlab.local)
  -o a.exe, --outfile a.exe
                        Name of compiled file

PPID Spoofing:
  -pp explorer.exe, --ppid explorer.exe
                        Parent process to use for PPID Spoofing (Default: explorer.exe)
  -ppv, --ppid-priv     Enable spoofing for privileged parent process (Disabled by default)
  -np, --no-ppid-spoof  Disable PPID spoofing

ThreadlessInject:
  -cp, --create-process
                        Create process instead of injecting into existing one
  -td ntdll.dll, --target-dll ntdll.dll
                        Target DLL containing export function to overwrite
  -ef NtClose, --export-function NtClose
                        Export function to overwrite

Características:

• 10 métodos diferentes de ejecución de shellcode (PoolParty, PoolPartyModuleStomping, ThreadlessInject, ModuleStomping, QueueUserAPC, ProcessHollow, EnumDisplayMonitors, RemoteThreadContext, RemoteThreadSuspended, CurrentThread)
• Suplantación de PPID
• Bloquear DLLs de terceros
• Desenganchar NTDLL mediante KnownDLLs
• SysWhispers2, SysWhispers3 y GetSyscallStub
• Hashing de API para SW2 y SW3
• Cifrado de cadenas en tiempo de compilación
• Soporte para Obfuscator-LLVM (OLLVM)
• Generación automática de proxy DLL
• Integración con el framework Havoc C2
• Aleatorización de nombres de syscall
• Almacenar shellcode como arreglo de palabras en inglés
• Codificación XOR con generación dinámica de claves
• Evasión de sandbox mediante DLL cargada, dominio, usuario, nombre de host y enumeración del sistema

Vea a continuación un video PoC del método ThreadlessInject utilizado para inyectar un beacon de Havoc en IE sin generar alertas y con eventos mínimos en Microsoft Defender for Endpoint (MDE) EDR (Grabado el 3/4/2023):

Ver Video

Vea el siguiente video que demuestra la técnica de inyección Module Stomping ejecutada mediante DLL Proxying (Grabado el 9/8/2022):

Ver Video

Shhhloader también se ha integrado en el framework Havoc C2 mediante un módulo de @jakobfriedl. Vea a continuación un video que demuestra el módulo:

Ver Video

Problemas conocidos/Notas:

• Los métodos de inyección PoolParty actualmente están configurados para inyectar en un proceso existente. Por lo tanto, debe usar el flag -p para proporcionar el nombre de un proceso que sepa o sospeche que ya se está ejecutando en el sistema objetivo.
• Los métodos de inyección PoolParty no funcionarán con archivos de shellcode grandes como sliver (~11MB).
• El método de ejecución de shellcode ThreadlessInject actualmente debe inyectarse en un proceso no suspendido. Esto se hace automáticamente si se proporciona la opción "-cp". Espero encontrar una forma de hacerlo funcionar con procesos suspendidos pronto.
• El módulo de Havoc C2 actualmente se cuelga al especificar un Listener en lugar de un archivo de shellcode sin procesar. Esto se solucionará pronto, con suerte.
• Windows Defender detectará la mayoría de los archivos generados por esta herramienta, así que no abra un issue diciendo "DETECTADO!!!". Experimente con las nuevas opciones y características hasta obtener algo que funcione; se agregaron por una razón :). Ejecutar el archivo generado en memoria también es una buena manera de evadir estas detecciones.
• Obfuscator-LLVM (OLLVM) no es compatible con SW2 y SW3 debido a cómo maneja clang el ensamblado en línea. Actualmente no hay planes para hacerlos compatibles; se han agregado verificaciones para evitar que el usuario intente usar estas características juntas.
• Hay muchísimos errores en mi código. Pruebe todo de antemano antes de usarlo para algo importante y, POR FAVOR, proporcione la mayor cantidad de información posible al abrir un issue. (¡GRACIAS!)

Actualizaciones planificadas:

• Opción de syscall mediante Breakpoint de Hardware (HWBP)
• Crear procesos usando syscall en lugar de la función estándar de WinAPI
• Integrar ThreadlessInject con otras técnicas de inyección de shellcode (Ej. ModuleStomping)
• Refactorizar el código para que sea más modular y legible
• Corregir errores en el módulo de Havoc C2
• Corregir innumerables errores aprendiendo a programar mejor ;)