Project Ares

Project Ares Injector

Project Ares Injector est un chargeur de type Preuve de concept (PoC) écrit en C/C++ basé sur la technique Transacted Hollowing. Le chargeur injecte un PE dans un processus distant et propose les caractéristiques suivantes :

• Spoofing PPID
• CIG pour bloquer les binaires non signés par Microsoft
• Résolution dynamique de fonctions sans les API LoadLibrary() ou GetProcAddress()
• Hachage d'API
• Dé-hooke NTDLL en rafraîchissant la section .text avec une version propre depuis le disque
• Utilisation minimisée des API WIN32
• Détection basique de sandbox
• Charge utile chiffrée AES256 CBC chargée depuis les ressources PE

Le chargeur est actuellement uniquement 64 bits et ne supporte que les charges utiles 64 bits.

Project Ares Cryptor

Cryptor est une application console de base destinée à chiffrer la charge utile avant de l'ajouter en tant que ressource PE à l'Injector. Il prend un seul argument <filepath> pointant vers la charge utile sur le disque, qui est ensuite chiffrée et écrite sur le disque sous le nom payload.bin.

Utilisation

1. Modifiez la clé de chiffrement dans Injector/main.cpp à la ligne 329 avec une valeur de 16 octets
2. Modifiez la clé de chiffrement dans Cryptor/main.cpp à la ligne 34 pour qu'elle corresponde à celle de l'Injector

Optionnellement, les vecteurs d'initialisation peuvent être modifiés, ils doivent également faire 16 octets :

const uint8_t iv[] = { 0x00, 0x01, 0x02, 0x03, 0x04, 0x05, 0x06, 0x07, 0x08, 0x09, 0x0a, 0x0b, 0x0c, 0x0d, 0x0e, 0x0f };

3. Utilisez Cryptor.exe pour chiffrer la charge utile x64 de votre choix
4. Ajoutez payload.bin comme ressource à l'Injector, assurez-vous de le nommer payload_bin ou modifiez Injector/main.cpp ligne 324 pour correspondre au nom donné :

HRSRC rc = FindResource(NULL, MAKEINTRESOURCE(IDR_PAYLOAD_BIN1), L"PAYLOAD_BIN");

5. Profitez

Remarque :

Le processus créé par défaut est svchost.exe Le processus parent usurpé par défaut est explorer.exe