InvisibilityCloak

Boîte à outils d'obfuscation de preuve de concept pour les outils de post-exploitation en C#. Elle effectuera les actions suivantes pour un projet Visual Studio C#.

• Modifier le nom de l'outil
• Modifier le GUID du projet
• Obfusquer les chaînes compatibles dans les fichiers de code source en fonction de la méthode d'obfuscation saisie par l'utilisateur
• Supprime les commentaires sur une ligne (ex: // ceci est un commentaire)
• Supprime l'option de chaîne PDB pour l'assembly .NET de version release compilée

Article de blog: https://securityintelligence.com/posts/invisibility-cloak-obfuscate-c-tools-evade-signature-based-detection

Chaînes candidates non obfusquées

Les chaînes candidates suivantes ne sont pas incluses dans l'obfuscation

• Chaînes de moins de 3 caractères
• Chaînes utilisant l'interpolation de chaîne (par ex., Console.WriteLine($"Hello, {name}! Today is {date.DayOfWeek}, it's {date:HH:mm} now.");)
• Les instructions case car elles doivent être des valeurs statiques
• Les variables const car elles doivent être des valeurs statiques
• Les chaînes dans les signatures de méthode car elles doivent être des valeurs statiques
• Ligne avec " => " utilisée dans une instruction switch et doit être une valeur statique.
• is dans une instruction if lors d'une comparaison car les valeurs comparées doivent être statiques
• Chaînes à l'intérieur d'expressions régulières
• Les chaînes override car elles doivent être des valeurs statiques
• Les cas particuliers aléatoires suivants pour les chaînes, car ils ont causé des problèmes lors du codage/décodage
  • Chaîne commençant ou se terminant par '
  • ""' dans la ligne
  • + @" dans la ligne
  • """ dans la ligne
  • "" dans la ligne
  • Encoding.Unicode.GetString dans la ligne
  • Encoding.Unicode.GetBytes dans la ligne
  • Encoding.ASCII.GetBytes dans la ligne
  • Ligne commençant par " et se terminant par ")]. Cela est généralement utilisé pour les commutateurs de ligne de commande et doit être une valeur statique.

Informations de prise en charge

• Windows
• Linux (systèmes basés sur Debian)
• Python3

Arguments/Options

• -d, --directory - répertoire où se trouve votre projet Visual Studio
• -m, --method - méthode d'obfuscation (base64, rot13, reverse)
• -n, --name - nom de votre nouvel outil
• -h, --help - menu d'aide
• --version - obtenir la version de l'outil

Utilisation/Exemples

Exécuter InvisibilityCloak avec obfuscation des chaînes

Obfuscation de chaîne Base64

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m base64

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m base64

Obfuscation de chaîne ROT13

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m rot13

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m rot13

Obfuscation de chaîne inversée

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m reverse

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m reverse

Exécuter InvisibilityCloak sans obfuscation des chaînes

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool"

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool"

Statistiques de détection basée sur les signatures

Le tableau ci-dessous montre les statistiques de détection basée sur les signatures entre les versions non obfusquées et obfusquées de 20 outils C# publics populaires avec InvisibilityCloak.

Ceci est spécifiquement pour Microsoft Defender (version gratuite), et exact au 14 avril 2022.

Outil	Lien	Non obfusqué	Obfusqué avec InvisibilityCloak
ADCSPwn	https://github.com/bats3c/ADCSPwn	Détecté	Non détecté
Certify	https://github.com/GhostPack/Certify	Détecté	Non détecté
Farmer	https://github.com/mdsecactivebreach/Farmer	Détecté	Non détecté
Rubeus	https://github.com/GhostPack/Rubeus	Détecté	Détecté
SafetyKatz	https://github.com/GhostPack/SafetyKatz	Détecté	Non détecté
Seatbelt	https://github.com/GhostPack/Seatbelt	Détecté	Non détecté
SharpClipboard	https://github.com/slyd0g/SharpClipboard	Non détecté	Non détecté
SharPersist	https://github.com/mandiant/SharPersist	Non détecté	Non détecté
SharpExec	https://github.com/anthemtotheego/SharpExec	Détecté	Non détecté
SharpGPOAbuse	https://github.com/FSecureLABS/SharpGPOAbuse	Détecté	Non détecté
SharpHound	https://github.com/BloodHoundAD/SharpHound	Non détecté	Non détecté
SharpLogger	https://github.com/djhohnstein/SharpLogger	Détecté	Non détecté
SharpMove	https://github.com/0xthirteen/SharpMove	Détecté	Non détecté
SharpRDP	https://github.com/0xthirteen/SharpRDP	Détecté	Détecté
SharpSecDump	https://github.com/G0ldenGunSec/SharpSecDump	Détecté	Non détecté
SharpUp	https://github.com/GhostPack/SharpUp	Non détecté	Non détecté
SharpView	https://github.com/tevora-threat/SharpView	Détecté	Non détecté
SharpWMI	https://github.com/GhostPack/SharpWMI	Détecté	Non détecté
StandIn	https://github.com/xforcered/StandIn	Détecté	Non détecté
WireTap	https://github.com/djhohnstein/WireTap	Non détecté	Non détecté

Statistiques de taille des outils C# compilés

Le tableau ci-dessous montre les tailles de fichiers de 20 outils C# publics populaires entre les versions non obfusquées et obfusquées en utilisant InvisibilityCloak avec diverses méthodes d'obfuscation de chaînes.