NiCOFF

En gros, NiCOFF est un chargeur de fichiers COFF et BOF écrit en Nim. NiCOFF lit un fichier BOF ou COFF, l'analyse et l'exécute en mémoire. Tout le projet est basé sur les projets de chargeur COFF de Yasser et Kevin. Les fonctions de chargeur et de beacon de ces projets ont été réécrites en Nim.

Compilation

Vous pouvez compiler directement le code source avec la commande suivante :

nim c -d:release -o:NiCOFF.exe Main.nim

Si vous obtenez l'erreur « cannot open file », vous devez également installer les dépendances requises :

nimble install ptr_math winim

Utilisation

NiCOFF peut accepter jusqu'à trois arguments : le chemin du fichier BOF ou COFF, le point d'entrée de la fonction démarrée (vous pouvez modifier le pointeur de fonction) et des arguments BOF optionnels (vous pouvez consulter le script de Kevin).

PS C:\Users\test\Desktop\NiCOFF\bin> .\NiCOFF.exe .\ipconfig.x64.o go
 ______  _  ______ _____  _______ _______
|  ___ \(_)/ _____) ___ \(_______|_______)
| |   | |_| /    | |   | |_____   _____
| |   | | | |    | |   | |  ___) |  ___)
| |   | | | \____| |___| | |     | |
|_|   |_|_|\______)_____/|_|     |_|

                @R0h1rr1m

[+] File is read!
[+] Sections are copied!
  [+] Relocations for section: .text
  [+] Relocations for section: .data
  [+] Relocations for section: .bss
  [+] Relocations for section: .xdata
  [+] Relocations for section: .pdata
  [+] Relocations for section: .rdata
  [+] Relocations for section: /4
[+] Relocations are done!
[+] Trying to find the entry: go
[+] go entry found!
[+] Executing...
[+] COFF File is Executed!
[+] Output Below:

Références

• https://github.com/trustedsec/COFFLoader
• https://github.com/Yaxser/COFFLoader2
• https://0xpat.github.io/Malware_development_part_8/
• https://blog.cloudflare.com/how-to-execute-an-object-file-part-1/

Avertissement

Pour des tests de sécurité autorisés uniquement. L'utilisation abusive de cet outil contre des systèmes sans autorisation explicite est illégale.