DeathSleep

Tout d'abord

Tout ce qui est indiqué ici provient de ma compréhension des différents sujets abordés, que ce soit par la lecture ou l'expérience lors du développement. Je suis conscient que je ne suis pas un expert et la dernière chose que je souhaite est de propager des informations erronées, donc si vous pensez que quelque chose n'est pas correct, je serais ravi que vous m'en fassiez part, vous pouvez me contacter sur twitter, ou ouvrir des issues dans ce repo. Merci beaucoup pour votre compréhension. :)

Bases

L'objectif principal de cette technique est clair : terminer le thread actuel et le restaurer avant de reprendre l'exécution, mais qu'est-ce que cela signifie exactement, et quelles nouvelles contraintes cela impose-t-il ?

Pour pouvoir restaurer l'exécution, nous devons sauvegarder deux choses avant de terminer le thread : d'abord l'état du CPU, et ensuite la stack, et les remettre en place efficacement après le lancement du nouveau thread.

J'ai parlé de nouvelles contraintes qui apparaîtront dans cette technique, et il y en a deux principales : premièrement, nous devons stocker en dehors de la stack tout ce qui est nécessaire depuis le moment où le thread se termine jusqu'à ce que la stack soit restaurée, et comme vous le verrez, cela crée de nouveaux défis.

Deuxièmement, nous avons toujours besoin d'au moins un autre thread en cours d'exécution dans notre processus, car nous terminons notre thread ; s'il n'y a pas d'autres threads, le processus se terminera. Je ne pense pas que ce soit un gros problème, car la plupart des agents sont injectés dans d'autres processus, nous pouvons supposer que ce processus conservera au moins un thread en cours d'exécution.

Composants de DeathSleep :

Nous pouvons voir dans cette POC 4 fonctions principales :

• Programme principal : C'est ici que vous écririez votre code d'agent, et c'est la partie du code qui utilisera DeathSleep
• Fonction Awake : c'est le point d'entrée de tous nos threads, et elle est chargée de sauvegarder le point de départ de la stack que nous allons restaurer. Elle est également chargée de restaurer la stack et le contexte CPU lorsque nécessaire, ou simplement de lancer notre programme principal.
• DeathSleep : c'est la fonction principale de cette technique, et elle est chargée de sauvegarder le contexte du thread et la stack, et aussi de tout préparer pour que la magie opère.
• Rebirth : Une fonction simple chargée uniquement de lancer nos nouveaux threads.

Sauvegarde de la stack.

Lorsque nous sommes sur le point de sauvegarder la stack, une question se pose : quelle quantité de la stack doit être sauvegardée ?

Revoyons d'abord ce qui se trouve dans la stack après avoir appelé la fonction DeathSleep (c'est la fonction qui sauvegarde le contexte, la stack et prépare tout pour l'obfuscation et la restauration)

Comme nous pouvons le voir, chaque fonction a trois parties :

• Shadow space : c'est un espace de 32 octets, alloué par l'appelant, mais utilisé par l'appelé. Pour autant que je sache et que j'aie pu voir, sa fonction principale est de contenir, si nécessaire, les arguments passés à la fonction appelée dans les registres, mais il peut être utilisé pour tout ce que la fonction appelée décide.
• Adresse de retour : c'est l'adresse de la prochaine instruction à exécuter dans la fonction appelante, poussée par l'instruction CALL, de sorte que l'instruction RET dans la fonction appelée prendra simplement cette adresse et "sautera" dessus lorsqu'elle se terminera.
• Espace stack de la fonction : c'est l'espace réservé par l'appelé pour stocker la valeur des registres qui doivent être restaurés et la valeur de ses variables locales.

La partie minimale de la stack que nous devons évidemment sauvegarder est tout ce qui se trouve à l'intérieur de notre programme principal, c'est-à-dire son shadow space, son adresse de retour et tout jusqu'à la fonction DeathSleep. Tout ce qui précède n'est pas vraiment nécessaire (sauvegarder la stack utilisée par la fonction d'entrée a ses avantages, mais nous en discuterons plus tard), car c'est la stack utilisée par les routines Windows pour lancer notre nouveau thread. En plus de cela, j'ai décidé de stocker également le shadow space de la fonction DeathSleep (pas vraiment nécessaire, mais cela facilite le calcul du Rsp au moment du réveil).

Donc au final, nous sauvegardons ceci :

Comment trouver nos adresses de stack :

Chaque fonction dans une compilation standard devrait être composée de 3 parties : le prologue, le code de la fonction, et l'épilogue.

Le Rsp (pointeur de stack) ne devrait être modifié que dans le prologue et l'épilogue de la fonction. Le prologue augmente le pointeur de stack (rappelez-vous qu'augmenter la stack signifie réduire les adresses, car elles vont dans des directions opposées), pour sauvegarder les registres, contenir toutes ses variables locales, puis contenir le shadow space, et l'épilogue fait exactement le contraire.