GoAround

Un outil permettant la génération de contournements AMSI et l'obfuscation automatique de scripts PowerShell à l'aide de trois méthodes d'obfuscation différentes. GoAround est sous licence MIT. Reportez-vous au fichier LICENSE pour plus d'informations.

• GoAround
  • Avertissement de responsabilité
  • Installation
  • Guide de l'utilisateur
    • Comment l'utiliser
    • Modes de fonctionnement
    • Types de contournement
    • Méthodes d'obfuscation
    • Exemples

Avertissement de responsabilité

Cet outil a été développé pour aider les pentesters dans leurs tâches quotidiennes de post-exploitation et comme projet de recherche. Toute utilisation malveillante de cet outil ou son utilisation sur des systèmes tiers sans autorisation correspondante relève de la seule responsabilité de l'utilisateur.

Installation

Il vous suffit de télécharger le code depuis Github et d'exécuter l'outil depuis la ligne de commande Windows ou la console PowerShell.

Guide de l'utilisateur

Avec GoAround, vous pouvez faire deux choses différentes :

• Générer des scripts PowerShell avec le code nécessaire pour réaliser un contournement AMSI. Le code généré peut être automatiquement obfusqué.
• Obfuscation automatique de scripts PowerShell, utilisant différentes techniques.

L'utilisateur peut choisir entre deux contournements AMSI différents et trois techniques d'obfuscation différentes.

Comment l'utiliser

Pour pouvoir utiliser cet outil, il est nécessaire d'avoir Python installé sur la machine. Les chemins suivants doivent être ajoutés à la variable d'environnement PATH :

• C:\Users{Usuario}\AppData\Local\Programs\Python\Python39
• C:\Users{Usuario}\AppData\Local\Programs\Python\Python39\Scripts

Une fois cela fait, vous pouvez exécuter l'outil depuis la ligne de commande, de l'une ou l'autre de ces deux manières :

1. Depuis le dossier de l'outil : python goaround.py {options}
2. Depuis n'importe quel autre dossier : python {chemin complet vers le dossier GoAround} {options}

La structure de la commande est la suivante :

python goaround.py -m [mode] (-t [type]) (-f [type_obfuscation]) (-i [input_file]) (-o [output_file])

Où toutes les options entre crochets sont facultatives. Les valeurs de ces options sont :

• -m ou --mode : la seule option obligatoire. Elle indique le mode de fonctionnement dans lequel l'outil doit s'exécuter. Allez à la section Modes de fonctionnement pour plus d'informations.
• -t ou --type : elle indique le type de contournement à utiliser lorsque le mode est bypass ou le type de méthode d'obfuscation lorsque le mode est obfuscate. Voir la section Types de contournement pour connaître les différents types de contournement et la section Méthodes d'obfuscation pour connaître les méthodes d'obfuscation disponibles.
• -f ou --obfuscation : lorsque le mode de fonctionnement est bypass, cette option est utilisée pour sélectionner le type d'obfuscation pour le contournement. Cette option n'est pas disponible en mode obfuscate, utilisez "-t" ou "--type" à la place. Pour connaître les différentes méthodes d'obfuscation, veuillez lire la section Méthodes d'obfuscation.
• -i ou --input : utilisé uniquement en mode obfuscate. Il permet à l'utilisateur de sélectionner le fichier à obfusquer.
• -o ou --output : cette option permet à l'utilisateur de sélectionner le nom du script généré. Le nom doit se terminer par ".ps1". Par défaut, le nom du fichier de sortie sera "output.ps1".

De plus, les options suivantes sont également prises en charge et doivent être exécutées seules (sans aucune autre option) :

• -h ou --help : affiche le guide d'utilisation de l'outil.
• -v ou --version : affiche le numéro de version de l'outil.

Modes de fonctionnement

Il existe deux modes de fonctionnement, bypass et obfuscate, et ils sont sélectionnés avec l'option "-m" ou "--mode" :

• bypass : pour indiquer que l'outil doit s'exécuter en mode contournement. Dans ce cas, un fichier PS1 sera généré avec le code du contournement AMSI.
• obfuscate : pour indiquer que l'outil doit s'exécuter en mode obfuscation. Dans ce cas, l'outil obfusquera le fichier fourni par l'utilisateur avec l'option "-i" ou "--input" (obligatoire dans ce mode de fonctionnement). Un fichier PS1 sera généré avec le code obfusqué. L'obfuscation fonctionne uniquement pour les scripts PowerShell.

Types de contournement

En mode bypass (-m bypass), le type de contournement peut être indiqué avec l'option "-t" ou "--type".

Actuellement, voici les types de contournement pris en charge :

• reflection : contournement par réflexion de Matt Graeber.
• scan_buffer_laine : contournement par correctif AmsiScanBuffer de Paul Laîné.

Si aucun type n'est spécifié, le contournement par réflexion sera utilisé par défaut.

Méthodes d'obfuscation

Actuellement, l'outil prend en charge trois techniques d'obfuscation PowerShell différentes.

Pour sélectionner le type d'obfuscation en mode bypass, l'option "-f" ou "--obfuscation" est utilisée (si aucune n'est spécifiée, le contournement ne sera pas obfusqué). Pour sélectionner le type d'obfuscation en mode obfuscate, l'option "-t" ou "--type" est utilisée (si aucune n'est spécifiée, la technique de concaténation sera utilisée).

Les noms des types d'obfuscation sont les suivants :

• mayus : modifiera le code PowerShell en utilisant la technique de randomcase. Cela n'affectera pas les chaînes présentes dans le code. Cette méthode modifiera le hachage du fichier.
• concatenation : méthode utilisée par défaut en mode obfuscate. Elle remplacera les chaînes présentes dans le code par la concaténation de chaînes plus petites. Les chaînes seront divisées aléatoirement, donc à chaque exécution, le code sera différent pour le même fichier d'entrée.
• insertion : elle remplacera les chaînes présentes dans le code par des combinaisons de chaîne et de variable. Par exemple, si le code contient la chaîne “amsiutils”, elle pourrait être remplacée par “am$var_tfm0”, où var_tfm0 = “siutils”. Les chaînes sont divisées aléatoirement, donc à chaque exécution, le code sera différent pour le même fichier d'entrée. Les variables auront un nom au format “var_tfm{número}”, donc si le code original a des variables avec ces noms, elles doivent être changées avant la phase d'obfuscation.

Exemples

Voici quelques exemples d'utilisation :

Afficher le menu d'aide

python main.py -h

python main.py --help

Afficher le numéro de version de l'outil

python main.py -v

python main.py --version

Générer un contournement par réflexion obfusqué avec insertion de variables

python main.py -m bypass -t reflection -f insertion

Générer le contournement de Paul Laîné en changeant le nom du fichier de sortie

python main.py -m bypass -t scan_buffer_laine -o "output_name.ps1"

Obfusquer un fichier en utilisant la méthode de concaténation de chaînes

python main.py -m obfuscate -t concatenation -i "input_required.ps1"