xeca

xeca es un proyecto que crea payloads de PowerShell cifrados con fines ofensivos.

También es posible crear shellcode independiente de la posición a partir de archivos DLL.

Nota: Coloca tu bypass de AMSI personalizado en src/assets/amsi-bypass.ps1.

Tabla de Contenidos

• xeca
  • Instalación
  • Cómo Funciona
  • Mitigaciones
  • Ejemplos
    • Covenant
    • Empire
    • Merlin
    • Sliver
  • Agradecimientos
  • Licencia

Instalación

Primero asegúrate de que Rust esté instalado, luego construye el proyecto con el siguiente comando:

cargo build

Cómo Funciona

1. Identificar y cifrar el payload. Cargar el payload cifrado en un script de PowerShell y guardarlo en un archivo llamado "launch.txt"
2. La clave para descifrar el payload se guarda en un archivo llamado "safe.txt"
3. Ejecutar "launch.txt" en un host remoto
   • El script se comunicará con el servidor web definido por el atacante para recuperar la clave de descifrado "safe.txt"
   • Descifrar el payload en memoria
   • Ejecutar el payload previsto en memoria

Mitigaciones

Si los usuarios deben tener acceso a programas como powershell.exe, considera minimizar los riesgos de seguridad con Just Enough Administration y PowerShell Logging. Las políticas de control de aplicaciones se pueden implementar mediante una tecnología de listas blancas como AppLocker.

Ejemplos

Covenant

Covenant payload donut de ensamblado .NET.

Empire

Empire payload de PowerShell.

Merlin

Merlin payload DLL.

Sliver

Sliver payload de shellcode.

Agradecimientos

Esta herramienta no sería posible sin el intercambio de conocimiento e información. Se debe agradecer a los siguientes autores por sus ideas, fragmentos de código y código:
@monoxgas
@H0neyBadger
@TheWover
@stephenfewer
@dismantl
@tandasat
@cobbr

Licencia

xeca está licenciado bajo GPLv3, algunos subcomponentes pueden tener licencias separadas. Consulta sus respectivas referencias en este proyecto para más detalles.