nim-loader

une aventure très rudimentaire d'apprentissage de Nim en rassemblant des ressources pour créer un chargeur de shellcode qui implémente des techniques courantes d'évasion EDR/AV.

Ceci est un bazar et est uniquement à des fins de recherche ! Ne vous attendez pas à ce qu'il compile et s'exécute sans vos propres modifications.

Instructions

• Remplacez le tableau d'octets dans loader.nim par votre propre shellcode x64
• Compilez l'EXE et exécutez-le : nim c -d:danger -d:strip --opt:size "loader.nim"
• Ajustez probablement le processus dans lequel vous souhaitez injecter en consultant les fichiers .nim du dossier d'injection selon la méthode que vous utilisez...

Fonctionnalités terminées

• Appels système directs résolus dynamiquement depuis NTDLL (Merci @ShitSecure)
• Patches d'AMSI et ETW (Merci @byt3bl33d3r)
• Décrochage de NTDLL (Merci @MrUn1k0d3r)
• Injection CreateRemoteThread (Merci @byt3bl33d3r, @ShitSecure)

Fonctionnalités en cours

• Technique de Process Hollowing (Merci @snovvcrash)
• Chiffrement/déchiffrement du shellcode avec [AES en mode CTR](https://en.wikipedia.org/wiki/Block_cipher_mode_of_operation#Counter_(CTR) (Merci @snovvcrash)
• Remplacer tous les appels API compatibles par des syscalls