ZipExec

ZipExec est un outil de preuve de concept (POC) permettant d'encapsuler des outils binaires dans un fichier zip protégé par mot de passe. Ce fichier zip est ensuite encodé en base64 en une chaîne qui est reconstruite sur le disque. Cette chaîne encodée est ensuite chargée dans un fichier JScript qui, lors de son exécution, reconstruit le fichier zip protégé par mot de passe sur le disque et l'exécute. Cela se fait par programmation en utilisant des objets COM pour accéder aux fonctions basées sur l'interface graphique de Windows via le chargeur JScript généré, exécutant le chargeur à l'intérieur du zip protégé sans avoir à le décompresser au préalable. En protégeant le fichier zip par mot de passe, cela protège le binaire des EDR et des mécanismes d'analyse sur disque ou anti-malware.

Installation

La première étape, comme toujours, est de cloner le dépôt. Avant de compiler ZipExec, vous devez installer les dépendances. Pour les installer, exécutez les commandes suivantes :

go get github.com/yeka/zip

Ensuite, construisez-le :

go build ZipExec.go

ou

go install github.com/Tylous/ZipExec@latest

Aide

./ZipExec -h

__________.__      ___________                     
\____    /|__|_____\_   _____/__  ___ ____   ____  
  /     / |  \____ \|    __)_\  \/  // __ \_/ ___\ 
 /     /_ |  |  |_> >        \>    <\  ___/\  \___ 
/_______ \|__|   __/_______  /__/\_ \\___  >\___  >
        \/   |__|          \/      \/    \/     \/ 
                (@Tyl0us)

Usage of ./ZipExec:
  -I string
        Path to the file containing binary to zip.
  -O string
        Name of output file (e.g. loader.js)
  -sandbox
        Enables sandbox evasion using IsDomainedJoined.