AceLdr - Evita Escáneres de Memoria

Un cargador reflectante independiente de posición para Cobalt Strike. Cero resultados de Hunt-Sleeping-Beacons, BeaconHunter, BeaconEye, Patriot, Moneta, PE-sieve, o MalMemDetect.

Características

Fácil de Usar

Importa un único script CNA antes de generar el shellcode.

Cifrado Dinámico de Memoria

Crea un nuevo heap para cualquier asignación de Beacon y cifra las entradas antes de dormir.

Ofuscación y Cifrado de Código

Cambia la memoria que contiene código ejecutable de CS a no ejecutable y la cifra (FOLIAGE).

Suplantación de Dirección de Retorno en Ejecución

Ciertas llamadas a la API de Windows se ejecutan con una dirección de retorno falsificada (InternetConnectA, NtWaitForSingleObject, RtlAllocateHeap).

Dormir Sin Dormir

Ejecución retardada usando WaitForSingleObjectEx.

Cifrado RC4

Todo el cifrado se realiza con SystemFunction032.

Problemas Conocidos

• No compatible con cargadores que dependen de que el hilo del shellcode permanezca activo.

Referencias

Este proyecto no habría sido posible sin lo siguiente:

• FOLIAGE
• Suplantación de dirección de retorno x64 (fuente + explicación)

Otras características e inspiración fueron tomadas de:

• https://www.arashparsa.com/bypassing-pesieve-and-moneta-the-easiest-way-i-could-find/
• https://github.com/secidiot/TitanLdr
• https://github.com/JLospinoso/gargoyle
• https://www.forrest-orr.net/post/masking-malicious-memory-artifacts-part-ii-insights-from-moneta
• https://www.arashparsa.com/hook-heaps-and-live-free/
• https://blog.f-secure.com/hunting-for-gargoyle-memory-scanning-evasion/
• https://www.elastic.co/blog/detecting-cobalt-strike-with-memory-signatures