Vue d'ensemble

Evasor est un outil automatisé d'évaluation de sécurité qui localise les exécutables existants sur le système d'exploitation Windows pouvant être utilisés pour contourner les règles de contrôle d'application. Il est très facile à utiliser, rapide, fait gagner du temps et entièrement automatisé, il génère pour vous un rapport comprenant une description, des captures d'écran et des suggestions d'atténuation, adapté aux équipes bleues et rouges dans l'évaluation d'une phase de post-exploitation.

Prérequis

• Système d'exploitation Windows.
• Visual Studio 2017 installé.

Instructions d'utilisation

Téléchargez le projet Evasor et compilez-le. Vérifiez d'exclure du projet le fichier App.config de l'arborescence des références.

Exécutez Evasor.exe depuis le dossier bin. Choisissez votre option numérique parmi les suivantes :

1. Localisation des fichiers exécutables pouvant être utilisés pour contourner le contrôle d'application !

• Récupération des chemins relatifs de tous les processus en cours d'exécution
• Vérification pour chaque processus (fichier exécutable) s'il est vulnérable à l'injection DLL par :
  1. Exécution du composant Microsoft « MavInject » depuis le chemin C:\Windows\System32\mavinject.exe avec les paramètres par défaut.
  2. Vérification du code de sortie de l'exécution de MavInject. Si le processus s'est terminé normalement, cela signifie que le processus est vulnérable à l'injection DLL et peut être utilisé pour contourner le contrôle d'application.

2. Localisation des processus vulnérables au détournement de DLL !

• Récupération de tous les processus en cours d'exécution
• Pour chaque processus en cours d'exécution : 1. Récupération des modules chargés du processus 2. Vérification s'il existe une autorisation d'écrire des données dans le répertoire du processus de travail en créant un fichier vide avec le nom du module chargé (DLL) ou en écrasant un fichier de module existant dans le répertoire du processus de travail. 3. Si l'opération d'écriture réussit, il semble que le processus soit vulnérable au détournement de DLL.

3. Localisation des fichiers de ressources potentiellement détournables

• Recherche de fichiers spécifiques sur l'ordinateur par leur extension.
• Tentative de déplacement de ces fichiers vers un autre emplacement afin de valider que le fichier peut être remplacé et, finalement, potentiellement vulnérable au détournement de ressources.
• Extensions : xml,config,json,bat,cmd,ps1,vbs,ini,js,exe,dll,msi,yaml,lib,inf,reg,log,htm,hta,sys,rsp

4. Génération d'un document Word de rapport d'évaluation automatique comprenant une description des tests et des captures d'écran prises.

Contribution

Nous accueillons toutes sortes de contributions à ce dépôt. Pour les instructions sur la façon de commencer et les descriptions de nos flux de travail de développement, veuillez consulter notre guide de contribution.

Licence

Ce dépôt est sous licence Apache License 2.0 - voir LICENSE pour plus de détails.

Partagez vos réflexions et vos retours

Pour plus de commentaires, suggestions ou questions, vous pouvez contacter Arik Kublanov de CyberArk Labs : Copyright © 2020 CyberArk Software Ltd. Tous droits réservés. Vous pouvez trouver plus de projets développés par nous sur https://github.com/cyberark/.

Remarques

• Le code original développé et utilisé en interne chez CyberArk Labs : Copyright © 2020 CyberArk Software Ltd. Tous droits réservés. Il assure une automatisation complète et l'exploitation des résultats informatifs.
• Le code original contient une partie d'activation et d'exploitation, mais nous l'avons retirée d'ici.
• Le contenu des fichiers dans le dossier DLLs est vide et ne contient pas non plus de code d'exploitation. Il est destiné aux équipes rouges et bleues de la communauté de la cybersécurité pour être utilisé et implémenté selon leurs propres besoins et peut constituer un point de départ pour leurs objectifs d'évaluation.