NovaLdr ⚜️
NovaLdr est un « Module Stomping » sans thread écrit en Rust, conçu comme un projet d'apprentissage tout en explorant le monde du développement de logiciels malveillants. Il utilise des techniques avancées comme les appels système indirects et le chiffrement de chaînes pour atteindre ses fonctionnalités. Ce projet n'est pas destiné à être un produit complet ou soigné, mais plutôt un voyage dans les aspects techniques des malwares, présentant diverses techniques et fonctionnalités.
Aperçu des fonctionnalités 💡
- Indirect Sycalls
- Chiffrement de chaînes
- Chiffrement du shellcode : XOR simple et conversion des octets du shellcode en adresse MAC
- Exécution sans thread
- Injection sans thread : écrit un trampoline dans une fonction spécifiée d'une DLL donnée et la redirige pour charger une autre DLL.
- Détournement de thread JMP : détourne un thread sans appeler SetThreadContext. Nécessite encore des améliorations car je suis paresseux et n'ai pas implémenté l'ensemble suffisamment bien pour conserver la fonctionnalité originale du thread. Juste un PoC rapide et sale (Attention au contrôle d'exécution de la charge utile. Les navigateurs ont tendance à exécuter la charge utile plusieurs fois)
- Déliaison de module
- Écrase les octets magiques de l'en-tête DOS.
- Efface les adresses de base des DLL du processus cible.
- Élimine les chaînes de noms de DLL du processus cible.
- Délie un module de la liste des modules
- Création de processus : création d'un processus suspendu avec NtCreateUserProcess, usurpation du PPID et définition du processus pour bloquer les DLL
- Déshameçonnage de Ntdll : déshameçonnage distant et local de Ntdll utilisant la technique Fart de Parun
- Pas de GetModuleHandleA & GetProcAddress : fonction personnalisée utilisant les fonctions NT
- Sommeil chiffré : fonction de sommeil personnalisée qui chiffre la pile pendant sa durée de sommeil en utilisant un thread séparé.
- HWBP : contournement sans correctif d'AMSI + ETW dans le processus avec HWBP sur tous les threads.
Utilisation 🛠️
- Générer un fichier shellcode :
msfvenom -p windows/x64/messagebox TITLE=NovaLdr TEXT='In memory of all those murdered in the Nova party massacre 7.10.2023' ICON=WARNING EXITFUNC=thread -b '\xff\x00\x0b' -f raw -e none -o Nova_MSG.bin
- Chiffrer le fichier shellcode et le convertir au format d'adresse MAC
python bin2mac.py Nova_MSG.bin > nova_msg.txt
- Copier le contenu du fichier de sortie et le coller dans le fichier main.rs
- Compiler le programme : exécutez simplement le fichier
compile.bat
Avertissement 📢
NovaLdr est destiné uniquement à des fins éducatives et de recherche. L'auteur n'est pas responsable de toute utilisation abusive ou des dommages causés par ce programme. Demandez toujours l'autorisation avant de le tester contre une cible.
Contribuer 📈
Ce projet étant un parcours d'apprentissage, les contributions, suggestions et améliorations sont les bienvenues pour faire de NovaLdr une ressource précieuse pour l'apprentissage du développement de malwares en Rust.
Ressources et crédits 📍
POC
PE-SIEVE
