blenny

Blenny est un outil de preuve de concept d'obfuscation de payload pour Windows qui cache les données du payload exécutable dans l'icône de l'exécutable. Il doit son nom au blennie à dents de sabre, qui imite le comportement et l'apparence des poissons nettoyeurs pour piéger des poissons sans méfiance.

Pourquoi ?

Je ne me souviens plus exactement comment l'histoire s'est déroulée, mais un hacker nommé retr0id (@DavidBuchanan314) a soulevé l'idée de cacher un payload dans l'icône d'un exécutable. En raison de diverses particularités des fichiers PNG-- et parce que les fichiers d'icônes Windows peuvent contenir des données PNG-- j'ai réalisé que je pouvais implémenter cette idée assez facilement, il faudrait juste un peu d'huile de coude. J'ai créé la bibliothèque Facade-- une bibliothèque ayant pour but spécifique de générer des payloads dans des fichiers PNG-- à cette fin précise.

Le résultat final est un fichier de payload compact et un système de build qui peuvent être utilisés pour personnaliser un payload de base de type dropper/exécuteur pour Windows.

Acquisition

Blenny utilise la bibliothèque Facade pour créer des payloads à partir de fichiers d'icônes. Ainsi, lors du clonage du dépôt, le sous-module (et ses sous-modules) doit être initialisé :

$ git clone https://github.com/frank2/blenny.git
$ cd blenny
$ git submodule update --init --recursive

C'est tout ce dont vous avez besoin pour initialiser le dépôt en vue de la compilation.

Compilation

Ce projet a littéralement été conçu avec CMake à l'esprit. Avant de compiler ce projet, il est absolument indispensable d'acquérir et installer CMake. Cela ne fonctionnera probablement pas autrement (à moins d'être vraiment déterminé à définir manuellement toutes les définitions CMake vous-même). Vous aurez également besoin d'une copie de Visual Studio pour compiler le projet.

Ce projet utilise de nombreuses variables CMake pour configurer le processus de compilation. Pour obtenir un payload de démonstration de base, dans lequel un adorable ami mouton se posera sur votre bureau, vous pouvez exécuter les commandes suivantes dans le répertoire principal du projet :

$ mkdir build
$ cd build
$ cmake -D BLENNY_ZTEXT_PAYLOAD=ON ../
$ cmake --build ./ --config Release
$ ./Release/blenny.exe

Par défaut, cela extrait un exécutable nommé « blenny.exe » de l'icône de l'exécutable vers le répertoire temporaire de l'utilisateur courant, puis l'exécute. Le payload par défaut est le DesktopPet de @AdrianoTiger, une reconstruction dédiée du classique esheep.exe des années 90.

Toutes les variables qui permettent cela sont personnalisables ! Une variable de payload (BLENNY_TRAILING_PAYLOAD, BLENNY_TEXT_PAYLOAD, BLENNY_ZTEXT_PAYLOAD ou BLENNY_STEGO_PAYLOAD) doit être définie. Cela contrôle la manière dont le payload est finalement inséré dans l'icône. Voir la bibliothèque Facade pour plus de détails sur ces techniques. Par exemple, pour utiliser votre propre payload, faites ceci :

$ cmake -D BLENNY_PAYLOAD_FILE="path/to/your/payload.exe" -D BLENNY_ZTEXT_PAYLOAD=ON ../
$ cmake --build ./ --config Release

Voici un tableau de toutes les différentes options de configuration que vous pouvez définir, leurs valeurs par défaut et leur rôle.