PichichiH0ll0wer

• PichichiH0ll0wer
• Acerca de
• Características
• Métodos de inyección
• Instalación
• Uso
• Créditos

Acerca de

--== Cargador de hollowing de procesos escrito en Nim solo para PEs ==--

Construí PichichiH0ll0wer para aprender y contribuir, claro, pero también porque estoy bastante cansado de los shellcodes en todas partes. Cargar PEs puede ser menos evasivo, lo sé, pero sigue siendo eficiente y más conveniente que pelearse para convertir tu payload PE en un shellcode cada vez (lo cual no siempre funciona bien). Además, PichichiH0ll0wer tiene algunas características para proteger tu payload. Soporta solo EXEs x64.

Características

• Constructor configurable
• Payload cifrado y comprimido (y opcionalmente dividido) en el cargador hollow
• Soporta inyección dividida usando múltiples procesos
• Soporta llamadas al sistema directas e indirectas
• Hollower no usa la muy sospechosa llamada Nt/ZwUnmapViewOfSection
• Puede construir cargadores hollow EXE / DLL
• Puede bloquear la carga de DLLs de Microsoft sin firmar en el proceso hueco
• Soporta técnicas anti-debug con la capacidad de morir o ejecutar cálculos inútiles (modo 'troll')
• Sleep ofuscado usando cálculos inútiles
• Soporta ejecución dentro de VEH
• Soporta clave RC4 en línea de comandos para descifrar el payload

Métodos de inyección

1. Hollowing simple: solo lo habitual: VirtualAlloc -> WriteProcessMemory -> GetThreadContext -> SetThreadContext -> ResumeThread.
2. Hollowing con syscalls directas: usando el excelente NimlineWhispers2.
3. Hollowing con syscalls indirectas: usando el excelente NimlineWhispers3.
4. Hollowing dividido: cada paso del método (1) ocurre en un proceso separado con manejadores heredados.
5. Hollowing dividido: cada paso del método (2) ocurre en un proceso separado con manejadores heredados.
6. Hollowing dividido: cada paso del método (3) ocurre en un proceso separado con manejadores heredados.

Ejemplo de hollowing dividido de cscript.exe con cmd.exe que lanza whoami.exe:

Instalación

Construido con Nim 1.6.12, debe ejecutarse solo en Windows.

nimble install winim ptr_math nimprotect supersnappy argparse

Uso

Usage:
   [options] exe_file injection_method

Arguments:
  exe_file         Exe file to load
  injection_method Injection method

        1 - Simple hollowing
        2 - Direct syscalls hollowing
        3 - Indirect syscalls hollowing
        4 - Split hollowing using multiple processes
        5 - Split hollowing using multiple processes and direct syscalls
        6 - Split hollowing using multiple processes and indirect syscalls

Options:
  -h, --help
  -s, --sponsor=SPONSOR      Sponsor path to hollow (default: self hollowing)
  -a, --args=ARGS            Command line arguments to append to the hollowed process
  -f, --format=FORMAT        PE hollower format Possible values: [exe, dll] (default: exe)
  -e, --export=EXPORT        DLL export name (relevant only for Dll format) (default: DllRegisterServer)
  -b, --block                Block unsigned Microsoft Dlls in the hollowed process
  -p, --split                Split and hide the payload blob in hollower (takes long to compile!)
  -t, --sleep=SLEEP          Number of seconds to sleep before hollowing (default: 0)
  -g, --anti-debug=ANTI_DEBUG
                             Action to perform upon debugger detection Possible values: [none, die, troll] (default: none)
  -k, --key=KEY              RC4 key to [en/de]crypt the payload (supplied as a command line argument to the hollower)
  -v, --veh                  Hollow will occur within VEH
  -d, --debug                Compile as debug instead of release (loader is verbose)

Además, revisa los ejemplos.

Créditos

• OffensiveNim
• NimlineWhispers2
• NimlineWhispers3
• Nim-RunPE
• Hasherezade code and notes