Introduction

Amber est un chargeur PE indépendant de la position (réfléchissant) qui permet l'exécution en mémoire de fichiers PE natifs (EXE, DLL, SYS...). Il permet un déploiement furtif de charges utiles en mémoire, pouvant être utilisé pour contourner les produits antivirus, pare-feu, IDS, IPS et les mesures d'atténuation de la liste blanche des applications. Les charges utiles réfléchissantes générées par Amber peuvent être soit déployées depuis un serveur distant, soit exécutées directement en mémoire comme une shellcode générique. Par défaut, chaque charge utile générée est encodée à l'aide du nouvel encodeur SGN. Amber utilise CRC32_API et IAT_API pour résoudre discrètement les adresses des fonctions de l'API Windows. Après le chargement et l'exécution du fichier PE en mémoire, la charge utile réfléchissante est effacée pour éviter les scanners mémoire.

Installation

Des binaires précompilés sont disponibles dans les versions.

Compilation à partir des sources

La seule dépendance pour compiler les sources est le moteur keystone. Suivez ces instructions pour installer la bibliothèque. Une fois libkeystone installé sur le système, il suffit de l'installer avec go ツ

go install github.com/EgeBalci/amber@latest

Installation Docker

docker pull egee/amber
docker run -it egee/amber

Utilisation

Le tableau suivant liste les commutateurs pris en charge par amber.

Exemple d'utilisation

• Générer une charge utile réfléchissante.

amber -f test.exe

• Générer une charge utile réfléchissante avec le résolveur d'API IAT et encoder la charge utile finale 10 fois.

amber -e 10 --iat -f test.exe

Utilisation avec Docker

docker run -it -v /tmp/:/tmp/ amber -f /tmp/file.exe

Démonstration

• NOPcon 2018 DEMO
• Pentest.blog - Déploiement de fichiers PE réfléchissants avec Metasploit
• Pentest.blog - Déploiement d'un ransomware réfléchissant (POC)