hlldz/reflexxion
RefleXXion is a utility designed to aid in bypassing user-mode hooks utilised by AV/EPP/EDR etc. In order to bypass the user-mode hooks, it first collects the syscall numbers of the NtOpenFile, NtCreateSection, NtOpenSection and NtMapViewOfSection found in the LdrpThunkSignature array.
RefleXXion est un utilitaire conçu pour aider à contourner les hooks en mode utilisateur utilisés par les AV/EPP/EDR, etc. Pour contourner les hooks en mode utilisateur, il collecte d'abord les numéros d'appel système de NtOpenFile, NtCreateSection, NtOpenSection et NtMapViewOfSection trouvés dans le tableau LdrpThunkSignature. Ensuite, deux techniques sont offertes à l'utilisateur pour contourner les hooks en mode utilisateur.
Technique-1, lit le fichier NTDLL depuis C:\Windows\System32\ntdll.dll. Après l'analyse, la section .TEXT de la NTDLL déjà chargée (où les hooks sont effectués) en mémoire est remplacée par la section .TEXT de la NTDLL propre.
Dans la Technique-2, NTDLL est lue en tant que Section depuis KnownDlls, \KnownDlls\ntdll.dll. (car les fichiers DLL sont mis en cache dans KnownDlls en tant que Section.) Après l'analyse, la section .TEXT de la NTDLL déjà chargée (où les hooks sont effectués) en mémoire est remplacée par la section .TEXT de la NTDLL propre.
Le flux détaillé de la méthodologie et de toutes les techniques est donné ci-dessous.
Vous pouvez ouvrir et compiler le projet avec Visual Studio. L'ensemble du projet prend en charge l'architecture x64 pour les modes Debug et Release.
La solution RefleXXion-EXE génère l'EXE à des fins de preuve de concept (PoC). Si vous voulez comprendre comment le projet fonctionne étape par étape, cela vous facilitera la tâche. La fonction principale contient les définitions des fonctions Technique1 et Technique2. Commentez l'une d'elles et compilez. N'utilisez pas les deux fonctions en même temps.
La solution RefleXXion-DLL génère la DLL que vous injectez dans le processus pour lequel vous souhaitez contourner les hooks en mode utilisateur de NTDLL. Au début du fichier main.cpp, se trouvent les définitions de la technique à utiliser. Vous pouvez en choisir une et la compiler. Ne définissez pas toutes les valeurs en même temps, définissez uniquement la technique souhaitée. Un exemple de configuration est donné ci-dessous.
// Techniques configuration section
#define FROM_DISK 1 // If you set it to 1, the Technique-1 will be used. For more information; https://github.com/hlldz/RefleXXion
#define FROM_KNOWNDLLS 0 // If you set it to 1, the Technique-2 will be used. For more information; https://github.com/hlldz/RefleXXion
RefleXXion ne prend actuellement en charge que l'architecture x64.
RefleXXion ne désactive que les hooks des fonctions NTDLL, vous devrez peut-être désactiver également les hooks d'autres DLL (kernel32.dll, advapi32.dll, etc.). Pour cela, vous pouvez facilement modifier les endroits nécessaires dans le projet.
RefleXXion utilise uniquement une région mémoire RWX lorsque le processus d'écrasement de la section .TEXT commence. Pour ce processus, aucune nouvelle région mémoire n'est créée ; la région mémoire existante (la section TEXT de la NTDLL déjà chargée) est mise en RWX puis convertie en RX.
ULONG oldProtection;
ntStatus = NtProtectVirtualMemory(NtCurrentProcess(), &lpBaseAddress, &uSize, PAGE_EXECUTE_READWRITE, &oldProtection);
memcpy()...
ntStatus = NtProtectVirtualMemory(NtCurrentProcess(), &lpBaseAddress, &uSize, oldProtection, &oldProtection);
P.S. RefleXXion invoque l'API NtProtectVirtualMemory sur la NTDLL installée proprement. Il utilise la fonction CustomGetProcAddress pour cela car la NTDLL propre ne figure pas dans la InLoadOrderModuleList même si elle est chargée en mémoire. Une solution comme celle-ci (https://stackoverflow.com/questions/6734095/how-to-get-module-handle-from-func-ptr-in-win32) ne fonctionnera donc pas. C'est pourquoi la fonction GetProcAddress personnalisée existe et est utilisée.
Vous pouvez charger la DLL RefleXXion depuis le disque vers le processus cible. Vous pouvez ne pas préférer une telle exécution pour un travail sensible comme une opération Red Team. Par conséquent, vous pouvez convertir la DLL RefleXXion en shellcode à l'aide du projet sRDI ou intégrer le code RefleXXion dans votre propre chargeur ou projet.
Même si NTDLL (en tant que fichier ou en tant que section) est rechargée dans le processus injecté, elle ne reste pas chargée. RefleXXion ferme tous les handles ouverts (handles de fichier et de section) pour ses propres processus.