InvisibilityCloak

Boîte à outils d'obfuscation de preuve de concept pour les outils de post-exploitation en C#. Elle effectuera les actions suivantes pour un projet Visual Studio C#.

• Modifier le nom de l'outil
• Modifier le GUID du projet
• Obfusquer les chaînes compatibles dans les fichiers de code source en fonction de la méthode d'obfuscation saisie par l'utilisateur
• Supprime les commentaires sur une ligne (ex: // ceci est un commentaire)
• Supprime l'option de chaîne PDB pour l'assembly .NET de version release compilée

Article de blog: https://securityintelligence.com/posts/invisibility-cloak-obfuscate-c-tools-evade-signature-based-detection

Chaînes candidates non obfusquées

Les chaînes candidates suivantes ne sont pas incluses dans l'obfuscation

• Chaînes de moins de 3 caractères
• Chaînes utilisant l'interpolation de chaîne (par ex., Console.WriteLine($"Hello, {name}! Today is {date.DayOfWeek}, it's {date:HH:mm} now.");)
• Les instructions case car elles doivent être des valeurs statiques
• Les variables const car elles doivent être des valeurs statiques
• Les chaînes dans les signatures de méthode car elles doivent être des valeurs statiques
• Ligne avec " => " utilisée dans une instruction switch et doit être une valeur statique.
• is dans une instruction if lors d'une comparaison car les valeurs comparées doivent être statiques
• Chaînes à l'intérieur d'expressions régulières
• Les chaînes override car elles doivent être des valeurs statiques
• Les cas particuliers aléatoires suivants pour les chaînes, car ils ont causé des problèmes lors du codage/décodage
  • Chaîne commençant ou se terminant par '
  • ""' dans la ligne
  • + @" dans la ligne
  • """ dans la ligne
  • "" dans la ligne
  • Encoding.Unicode.GetString dans la ligne
  • Encoding.Unicode.GetBytes dans la ligne
  • Encoding.ASCII.GetBytes dans la ligne
  • Ligne commençant par " et se terminant par ")]. Cela est généralement utilisé pour les commutateurs de ligne de commande et doit être une valeur statique.

Informations de prise en charge

• Windows
• Linux (systèmes basés sur Debian)
• Python3

Arguments/Options

• -d, --directory - répertoire où se trouve votre projet Visual Studio
• -m, --method - méthode d'obfuscation (base64, rot13, reverse)
• -n, --name - nom de votre nouvel outil
• -h, --help - menu d'aide
• --version - obtenir la version de l'outil

Utilisation/Exemples

Exécuter InvisibilityCloak avec obfuscation des chaînes

Obfuscation de chaîne Base64

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m base64

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m base64

Obfuscation de chaîne ROT13

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m rot13

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m rot13

Obfuscation de chaîne inversée

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m reverse

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m reverse

Exécuter InvisibilityCloak sans obfuscation des chaînes

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool"

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool"

Statistiques de détection basée sur les signatures

Le tableau ci-dessous montre les statistiques de détection basée sur les signatures entre les versions non obfusquées et obfusquées de 20 outils C# publics populaires avec InvisibilityCloak.

Ceci est spécifiquement pour Microsoft Defender (version gratuite), et exact au 14 avril 2022.

Statistiques de taille des outils C# compilés

Le tableau ci-dessous montre les tailles de fichiers de 20 outils C# publics populaires entre les versions non obfusquées et obfusquées en utilisant InvisibilityCloak avec diverses méthodes d'obfuscation de chaînes.

Feuille de route

• Ajouter la prise en charge des projets C# avec plusieurs fichiers de projet C# (solutions multi-projets)
• Prise en charge de l'obfuscation des noms de variables et des noms de méthodes