Shhhloader

Shhhloader est un chargeur de shellcode en cours de développement. Il prend du shellcode brut en entrée et compile une souche C++ qui effectue diverses opérations pour tenter de contourner les antivirus/EDR. Le générateur Python inclus fonctionnera sur tout système Linux disposant de Mingw-w64 installé.

Édition du 25/01/24 : Shhhloader prend désormais en charge la variante 7 de PoolParty ! Une option a également été ajoutée pour combiner PoolParty avec Module Stomping afin d'empêcher le shellcode exécuté de résider dans une mémoire non adossée. Voir ci-dessous une vidéo démontrant cette nouvelle méthode d'injection contre Defender ATP :

Voir la vidéo

┳┻|
┻┳|
┳┻|
┻┳|
┳┻| _
┻┳| •.•)  - Chut, l'AV pourrait nous entendre ! 
┳┻|⊂ﾉ   
┻┳|
usage: Shhhloader.py [-h] [-p explorer.exe] [-m QueueUserAPC] [-u] [-w] [-nr] [-ns] [-l] [-v] [-sc GetSyscallStub] [-d] [-dp apphelp.dll] [-s domain]
                     [-sa testlab.local] [-o a.exe] [-pp explorer.exe] [-ppv] [-np] [-cp] [-td ntdll.dll] [-ef NtClose]
                     file

ICYGUIDER'S CUSTOM SYSCALL SHELLCODE LOADER

positional arguments:
  file                  File containing raw shellcode

options:
  -h, --help            show this help message and exit
  -p explorer.exe, --process explorer.exe
                        Process to inject into (Default: explorer.exe)
  -m QueueUserAPC, --method QueueUserAPC
                        Method for shellcode execution (Options: PoolPartyModuleStomping, PoolParty, ThreadlessInject, ModuleStomping, QueueUserAPC,
                        ProcessHollow, EnumDisplayMonitors, RemoteThreadContext, RemoteThreadSuspended, CurrentThread) (Default: QueueUserAPC)
  -u, --unhook          Unhook NTDLL in current process
  -w, --word-encode     Save shellcode in stub as array of English words
  -nr, --no-randomize   Disable syscall name randomization
  -ns, --no-sandbox     Disable sandbox checks
  -l, --llvm-obfuscator
                        Use Obfuscator-LLVM to compile stub
  -v, --verbose         Enable debugging messages upon execution
  -sc GetSyscallStub, --syscall GetSyscallStub
                        Syscall execution method (Options: SysWhispers2, SysWhispers3, GetSyscallStub, None) (Default: GetSyscallStub)
  -d, --dll             Generate a DLL instead of EXE
  -dp apphelp.dll, --dll-proxy apphelp.dll
                        Create Proxy DLL using supplied legitimate DLL (File must exist in current dir)
  -s domain, --sandbox domain
                        Sandbox evasion technique (Options: sleep, domain, hostname, username, dll) (Default: sleep)
  -sa testlab.local, --sandbox-arg testlab.local
                        Argument for sandbox evasion technique (Ex: WIN10CO-DESKTOP, testlab.local)
  -o a.exe, --outfile a.exe
                        Name of compiled file

PPID Spoofing:
  -pp explorer.exe, --ppid explorer.exe
                        Parent process to use for PPID Spoofing (Default: explorer.exe)
  -ppv, --ppid-priv     Enable spoofing for privileged parent process (Disabled by default)
  -np, --no-ppid-spoof  Disable PPID spoofing

ThreadlessInject:
  -cp, --create-process
                        Create process instead of injecting into existing one
  -td ntdll.dll, --target-dll ntdll.dll
                        Target DLL containing export function to overwrite
  -ef NtClose, --export-function NtClose
                        Export function to overwrite

Fonctionnalités :

• 10 méthodes d'exécution de shellcode différentes (PoolParty, PoolPartyModuleStomping, ThreadlessInject, ModuleStomping, QueueUserAPC, ProcessHollow, EnumDisplayMonitors, RemoteThreadContext, RemoteThreadSuspended, CurrentThread)
• Usurpation PPID (PPID Spoofing)
• Blocage des DLL tierces
• Détourage de NTDLL via KnownDLLs
• SysWhispers2, SysWhispers3 et GetSyscallStub
• Hachage d'API pour SW2 et SW3
• Chiffrement des chaînes à la compilation
• Prise en charge d'Obfuscator-LLVM (OLLVM)
• Génération automatique de proxy DLL
• Intégration du framework Havoc C2
• Randomisation des noms de syscall
• Stockage du shellcode sous forme de tableau de mots anglais
• Encodage XOR avec génération de clé dynamique
• Contournement de sandbox via DLL chargée, domaine, utilisateur, nom d'hôte et énumération du système

Voir ci-dessous une vidéo de preuve de concept de la méthode ThreadlessInject utilisée pour injecter un beacon Havoc dans IE sans générer d'alertes et avec un minimum d'événements dans Microsoft Defender for Endpoint (MDE) EDR (Enregistrée le 03/04/2023) :

Voir la vidéo

Voir la vidéo ci-dessous démontrant la technique d'injection Module Stomping exécutée via un proxy DLL (Enregistrée le 09/08/2022) :

Voir la vidéo

Shhhloader a également été intégré au framework Havoc C2 via un module par @jakobfriedl. Voir ci-dessous une vidéo démontrant le module :

Voir la vidéo

Problèmes connus / Remarques :

• Les méthodes d'injection PoolParty sont actuellement configurées pour injecter dans un processus existant. Par conséquent, vous devez utiliser l'option -p pour fournir le nom d'un processus que vous savez ou soupçonnez être déjà en cours d'exécution sur le système cible.
• Les méthodes d'injection PoolParty ne fonctionneront pas avec des fichiers shellcode volumineux comme sliver (~11 Mo).
• La méthode d'exécution ThreadlessInject doit actuellement injecter dans un processus non suspendu. Ceci est fait automatiquement pour vous si l'option -cp est fournie. J'espère trouver un moyen de la faire fonctionner avec des processus suspendus bientôt.
• Le module Havoc C2 plante actuellement lors de la spécification d'un Listener au lieu d'un fichier shellcode brut. Cela sera corrigé bientôt, espérons-le.
• Windows Defender détectera la plupart des fichiers générés par cet outil, alors veuillez ne pas ouvrir un ticket disant « DÉTECTÉ !!! ». Jouez avec les nouvelles options et fonctionnalités jusqu'à obtenir quelque chose qui fonctionne ; elles ont été ajoutées pour une raison :). Exécuter le fichier généré en mémoire est également un bon moyen d'éviter ces détections.
• Obfuscator-LLVM (OLLVM) n'est pas compatible avec SW2 et SW3 en raison de la manière dont clang gère l'assembly inline. Il n'est pas prévu de les rendre compatibles ; des contrôles ont été ajoutés pour empêcher l'utilisateur d'essayer d'utiliser ces fonctionnalités ensemble.
• Il y a énormément de bugs dans mon code. Veuillez tout tester à l'avance avant d'utiliser pour quelque chose d'important, et FOURNISSEZ autant d'informations que possible lors de l'ouverture d'un ticket. (MERCI !)

Mises à jour prévues :

• Option syscall par point d'arrêt matériel (HWBP)
• Création de processus via syscall au lieu de la fonction WinAPI standard
• Intégration de ThreadlessInject avec d'autres techniques d'injection de shellcode (ex. ModuleStomping)
• Refactorisation du code pour le rendre plus modulaire et lisible
• Correction des bugs dans le module Havoc C2
• Correction d'innombrables bugs en apprenant à mieux programmer ;)