Outil d'évasion antivirus

AVET n'est plus développé en raison de l'évolution technique et des contraintes de temps.

AVET est un outil d'évasion antivirus, développé pour faciliter la vie des testeurs d'intrusion et pour expérimenter les techniques d'évasion antivirus, ainsi que d'autres méthodes utilisées par les logiciels malveillants. Pour un aperçu des nouvelles fonctionnalités de la v2.4, ainsi que des versions précédentes, consultez le fichier CHANGELOG.

Table des matières

• Installation

• Docker

• AVET la manière simple

• AVET la manière normale

• Documentation (cliquez pour développer)

  • Méthodes de récupération des données
  • Chiffrement et encodage
  • Évitement de sandbox
  • Exécution de commandes supplémentaires
  • Outils d'aide
  • AVET et metasploit psexec
  • Exemples adverses

• Plus

Quelques fonctionnalités

• lorsque vous exécutez un fichier .exe créé avec msfpayload & co, le fichier sera souvent reconnu par un logiciel antivirus
• AVET est un outil d'évasion antivirus ciblant les machines Windows avec des fichiers exécutables
• différents types de charges utiles d'entrée peuvent désormais être utilisés : shellcode, exe et dlls
• plus de techniques disponibles : injection de shellcode/dll, process hollowing et plus encore
• méthodes de récupération flexibles pour la charge utile, la clé de déchiffrement, etc.
• utilisation comme dropper
• L'enchaînement de plusieurs itérations d'AVET vous permet d'ajouter plusieurs couches d'évasion, si nécessaire
• combinaison de techniques : téléchargez votre charge utile chiffrée via PowerShell, tout en fournissant la clé de déchiffrement via un argument de ligne de commande au moment de l'exécution, et enfin injectez votre charge utile dans un autre processus, en choisissant parmi plusieurs techniques
• vérifications de base du sandbox
• génération d'exemples adverses contre les détecteurs statiques basés sur l'apprentissage automatique
• exécutez tous les scripts de build disponibles avec build_script_tester.py, cela pourrait également intéresser les chercheurs pour construire un ensemble d'échantillons « malveillants » utilisant différentes techniques d'évasion et d'injection

Note importante

Toutes les techniques ne contourneront pas tous les moteurs antivirus. Si une technique ou un script de build ne fonctionne pas, veuillez en tester une autre. N'hésitez pas à expérimenter ! Après tout, c'est une boîte à outils - mais vous devez manier le marteau vous-même.

Installation

Les instructions d'installation s'appliquent pour Kali 64 bits et tdm-gcc !

Vous pouvez utiliser le script de configuration :```bash ./setup.sh

Cela devrait automatiquement vous permettre de démarrer en installant/configurant wine et en installant tdm-gcc.
Vous devrez rapidement cliquer à travers l'interface graphique d'installation de tdm-gcc - les paramètres standard devraient convenir.
Le script vous demandera également si vous souhaitez installer les dépendances d'AVET, qui sont nécessaires pour utiliser certains des scripts de compilation. Les dépendances récupérées seront placées dans des dossiers séparés à côté du dossier avet.


Les dépendances récupéreront les dernières versions de :
- [pe_to_shellcode](https://github.com/hasherezade/pe_to_shellcode)
- [mimikatz](https://github.com/gentilkiwi/mimikatz)
- [DKMC](https://github.com/Mr-Un1k0d3r/DKMC)


Si pour une raison quelconque vous souhaitez installer wine et tdm-gcc manuellement :
- [Comment installer tdm-gcc avec wine](https://govolution.wordpress.com/2017/02/04/using-tdm-gcc-with-kali-2/)

## Docker

Si vous n'utilisez pas Kali ou ne souhaitez pas installer Metasploit sur votre système, vous pouvez utiliser le conteneur Docker à la place.
Le conteneur encapsule Metasploit et avet et les échantillons seront créés dans votre répertoire actuel.
Il est également possible d'utiliser un éditeur de texte graphique comme gedit.

Construction du conteneur :```bash
sudo docker build -t avet:v0.1 .

Utilisation :```bash sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet:v0.1 /bin/bash

Pour une meilleure expérience, il est recommandé de créer un alias pour cela.```bash
# In your .bash_profile, .bashrc or .bash_aliases

alias avet='sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet /bin/bash'

AVET en toute simplicité

avet.py est un petit utilitaire Python conçu pour vous aider à utiliser l'outil.

Il liste tous les scripts actuellement présents dans le dossier build. Après en avoir sélectionné un, vous pourrez parcourir le script ligne par ligne, avec la possibilité de modifier le contenu à la volée.

Cette fonctionnalité est particulièrement utile car vous pouvez définir de nouvelles variables LHOST et LPORT pour msfvenom à chaque fois que vous exécutez un script de build via fabric. Vous pouvez définir des valeurs par défaut pour LHOST et LPORT dans le fichier /build/global_connect_config.sh, qui sont utilisées si vous ne les redéfinissez pas.

Ces modifications sont temporaires, ce qui signifie que tout changement que vous apportez ne persistera pas dans le script de build sur le disque. La version modifiée est exécutée une fois, et votre exécutable est construit.

                   .|        ,       +
         *         | |      ((             *
                   |'|       `    ._____
     +     ___    |  |   *        |.   |' .---"|
   _    .-'   '-. |  |     .--'|  ||   | _|    |
.-'|  _.|  |    ||   '-__  |   |  |    ||      |
|' | |.    |    ||       | |   |  |    ||      |