FUD-UUID-Shellcode

परिचय

एक और शेलकोड इंजेक्शन तकनीक जो C++ का उपयोग करती है जो XOR एन्क्रिप्शन जादू और UUID स्ट्रिंग्स पागलपन के माध्यम से Windows Defender को बायपास करने का प्रयास करती है :)।

यह कैसे काम करता है

शेलकोड जनरेशन

• सबसे पहले, बाइनरी फॉर्मेट में एक पेलोड जनरेट करें (Havoc, CobaltStrike या msfvenom का उपयोग करके) उदाहरण के लिए, msfvenom में, आप इसे इस प्रकार कर सकते हैं (मैं जिस पेलोड का उपयोग कर रहा हूँ वह चित्रण उद्देश्यों के लिए है, आप अपनी इच्छानुसार कोई भी पेलोड उपयोग कर सकते हैं):

  root@kitploit:~

  msfvenom -p windows/messagebox  -f raw -o shellcode.bin
  

• फिर शेलकोड (बाइनरी/रॉ फॉर्मेट में) को Python3 स्क्रिप्ट bin_to_uuid.py का उपयोग करके UUID स्ट्रिंग फॉर्मेट में बदलें:

  root@kitploit:~

  ./bin_to_uuid.py -p shellcode.bin -o uuid.txt
  

• UUID स्ट्रिंग्स को uuid.txt में Python3 स्क्रिप्ट xor_encryptor.py का उपयोग करके xor द्वारा एन्क्रिप्ट करें।

  root@kitploit:~

  ./xor_encryptor.py uuid.txt > xor_crypted_out.txt
  

• फ़ाइल xor_crypted_out.txt में C-style ऐरे को कॉपी करें और इसे C++ फ़ाइल में unsigned char ऐरे के रूप में पेस्ट करें, यानी unsigned char payload[]{your_output_from_xor_crypted_out.txt}

निष्पादन

यह शेलकोड इंजेक्शन तकनीक निम्नलिखित क्रमिक चरणों को शामिल करती है:

• सबसे पहले, यह VirtualAlloc के माध्यम से पेलोड निष्पादन और निवास के लिए वर्चुअल मेमोरी आवंटित करता है
• यह xor कुंजी मान का उपयोग करके पेलोड को xor डिक्रिप्ट करता है
• UuidFromStringA का उपयोग UUID स्ट्रिंग्स को उनके बाइनरी प्रतिनिधित्व में बदलने और पहले से आवंटित मेमोरी में संग्रहीत करने के लिए किया जाता है। इसका उपयोग WriteProcessMemory या memcpy जैसे संदिग्ध APIs के उपयोग से बचने के लिए किया जाता है।
• पहले (चरण 1 में) मेमोरी में लोड किए गए पेलोड को निष्पादित करने के लिए EnumChildWindows का उपयोग करें

इसे क्या अद्वितीय बनाता है?

• यह memcpy या WriteProcessMemory जैसे मानक फ़ंक्शन का उपयोग नहीं करता जो AV/EDR को अलर्ट करने के लिए जाने जाते हैं, यह प्रोग्राम Windows API फ़ंक्शन UuidFromStringA का उपयोग करता है जिसका उपयोग डेटा को डीकोड करने के साथ-साथ मेमोरी में लिखने के लिए किया जा सकता है ( क्या यह बढ़िया नहीं है दोस्तों? और कृपया "NO!" न कहें :) )।
• यह Windows API फ़ंक्शन को कॉल करने के लिए फ़ंक्शन कॉल ऑब्सफस्केशन ट्रिक का उपयोग करता है
• अंत में, क्योंकि यह अद्वितीय दिखता है :) ( क्या यह नहीं है? :) )

महत्वपूर्ण

• आपको xor कुंजी (line 85) को अपनी इच्छानुसार बदलना होगा। यह ./xor_encryptor.py python3 स्क्रिप्ट में KEY वेरिएबल को बदलकर भी किया जाना चाहिए। कुंजियाँ मेल खानी चाहिए!
• आपको डिफ़ॉल्ट executable filename मान (row 90) को अपने फ़ाइलनाम में बदलना होगा।
• mingw का उपयोग किया गया था लेकिन आप अपनी पसंद का कोई भी कंपाइलर उपयोग कर सकते हैं। :)

संकलन

• बस इसे अपने टर्मिनल/शेल पर चलाएं:

make

प्रूफ-ऑफ-कॉन्सेप्ट (PoC)

स्टैटिक विश्लेषण

AV स्कैन परिणाम

बाइनरी को antiscan.me का उपयोग करके 01/08/2022 को स्कैन किया गया था।

श्रेय

https://research.nccgroup.com/2021/01/23/rift-analysing-a-lazarus-shellcode-execution-method/