MorphAES

IDPS और सैंडबॉक्स और एंटीवायरस STEALTH KILLER.

MorphAES दुनिया का पहला पॉलीमॉर्फिक शेलकोड इंजन है, जिसमें मेटामॉर्फिक गुण और सैंडबॉक्स को बायपास करने की क्षमता है, जो इसे IDPS के लिए अडिटेक्टेबल बनाती है, यह क्रॉस-प्लेटफॉर्म भी है और लाइब्रेरी-इंडिपेंडेंट है।

गुण:

• पॉलीमॉर्फिज्म (AES एन्क्रिप्शन)
• मेटामॉर्फिज्म (तर्क और स्थिरांक बदलना)
• प्लेटफॉर्म स्वतंत्र (Linux/BSD/Windows)
• IDPS स्टील्थिंग (एक दिए गए कोड के लिए संभावित सिग्नेचर की कुल संख्या ब्रह्मांड में परमाणुओं की संख्या से अधिक है)
• सैंडबॉक्स एवेज़न (विशेष असेंबली निर्देश)
• बुरे कैरेक्टर से बचना (\x00, \x04, \x05, \x09, \x0a, \x20)
• एक्जीक्यूटेबल बना सकता है और दूरस्थ रूप से शोषण किया जा सकता है
• इनपुट कोड की मनमानी लंबाई हो सकती है
• NOP स्लेड की संभावना

मॉर्फर के लिए निर्भरताएँ:

• Python 2.7 - मुख्य इंजन

कोड निष्पादन के लिए निर्भरताएँ:

• 64-बिट Intel AES-NI - डिक्रिप्शन के लिए

फिर भी, कुछ सीमाएँ हैं (उर्फ व्हाइट-हैट पहलू):

• मेटामॉर्फिज्म बहुत मजबूत नहीं है और रेगुलर एक्सप्रेशन का उपयोग करके पता लगाया जा सकता है (लेकिन इसे आसानी से सुधारा जा सकता है)
• यूनिकोड नल बाइट्स अभी भी काम कर सकते हैं (लेकिन किसे परवाह है?)
• यह केवल AES-NI समर्थन वाले 64-बिट Intel प्रोसेसर पर काम करेगा, लेकिन चूंकि सभी उपयोगकर्ता के PCs (जैसे Pentium, Celeron, i3, i5, i7) और उद्योग के सर्वर (जैसे Xeon) के पास यह है, यह एक सीमा से अधिक एक विनिर्देश है, इस प्रकार 32-बिट कार्यान्वयन अव्यावहारिक है
• लगभग कोई भी शेलकोड काम करने की गारंटी है, हालांकि, एक मनमाना कोड नहीं (मैलवेयर दुरुपयोग से बचने के लिए)
• Windows/BSD PoC और एक्जीक्यूटेबल काम में हैं, साथ ही ARM संस्करण भी

यह कैसे काम करता है

1. NOPs के साथ शेलकोड पैडिंग (क्योंकि AES एक ब्लॉक सिफर है) और एक वैकल्पिक NOP स्लेड जोड़ना
2. कस्टम AES-128-ECB का उपयोग करके एक यादृच्छिक कुंजी के साथ शेलकोड एन्क्रिप्शन (सबसे अच्छा नहीं, लेकिन सबसे सरल) - पॉलीमॉर्फिज्म
3. स्थिरांक रैंडमाइजेशन, तर्क परिवर्तन, निर्देश संशोधन और पुनर्लेखन - मेटामॉर्फिज्म

HowTo

आपको मेरे कस्टम AESNI-128-ECB कार्यान्वयन को Intel x64 CPU का उपयोग करके असेंबल करना होगा और इसे Python स्क्रिप्ट के साथ एक ही फ़ोल्डर में रखना होगा।

Linux के लिए:

sudo apt-get install python
as --64 AES.s -o AES.o
ld AES.o -o AES

Python स्क्रिप्ट निष्पादित करें और अपना शेलकोड दर्ज करें या डिफ़ॉल्ट Linux शेल के लिए कुछ भी न दें। आप अपना स्वयं का निष्पादन पता भी निर्दिष्ट कर सकते हैं।

Windows/BSD/Mac पर निर्माण और निष्पादन भी संभव है, लेकिन मैं अभी भी इसका परीक्षण कर रहा हूँ।

आप असेंबली में Linux PoC का परीक्षण कर सकते हैं:

as --64 shellcodePoC.s -o shellcodePoC.o
ld shellcodePoC.o -o shellcodePoC
./shellcodePoC

या C में:

gcc -m64 -fno-stack-protector -z execstack shellcode.c -o shellcode
./shellcode

प्रत्येक फ़ाइल पर टिप्पणी और व्याख्या की गई है

परीक्षण

इस बिंदु पर, यह बिल्कुल स्पष्ट होना चाहिए कि, हैश हर बार अलग होंगे, लेकिन आइए एक ही शेलकोड के 2 Linux एक्जीक्यूटेबल के SSDEEPes की तुलना करें:

• 96:GztTHyKGQh3lo6Olv4W4zS/2WnDf74i4a4B7UEoB46keWJl09:Gzty6VOlvqSTDflmNroh,
• 96:GQtT23yKmFUh3lo6OlOnIrFS4rkoPPf74i4a4B7UEoB46keWJ5:GQtCGWVOlOWFSsPflmNroh,

खैर, कुछ समान है, लेकिन वैश्विक रूप से वे 2 अलग-अलग सिग्नेचर हैं, अब शेलकोड के बारे में क्या:

• 6:Cq8bnJYn4Xkm3qECaADATyEnT8snTiETiTCfhUaAP6mYGexCKdKZzX+rqVCKdKTc:xuJ0Zp2xRZof79G/KVyk/KTbA,
• 6:vrg+T1RfLEQD/zD1DZzDJ3zDBfjDcDRJDULUwzWq0Cgk3g4zE/Yq0Cgk3gy12Ots:vLjjEszWCp3w/YCp3Nts,

एक ही मॉर्फ्ड शेलकोड के लिए लगभग पूरी तरह से अलग सिग्नेचर!

प्रकाशन तिथि पर, एक्जीक्यूटेबल को virustotal पर केवल 2 एंटीवायरस (AVG और Ikarus) द्वारा शेलकोड के रूप में पहचाना गया था, लेकिन अब, यह विश्लेषण करने में विफल रहता है।

malwr और cuckoo2 को कुछ भी संदिग्ध नहीं दिखता है।

रिवर्सर के दृष्टिकोण से, IDA को भी कुछ नहीं दिखेगा।

Radare2 वास्तविक निर्देशों को तभी दिखाएगा जब असेंबलर द्वारा ही असेंबल किया गया हो, हालांकि, यह एक्जीक्यूटेबल के लिए किसी भी क्रिप्टो या संदिग्ध गतिविधि का पता नहीं लगाता है।

हालाँकि, मैंने व्यक्तिगत रूप से इसका परीक्षण नहीं किया, मुझे लगता है कि FortiSandbox, Sophos Sandstorm, Blue Coat, GateWatcher और उनके डेरिवेटिव बुरी तरह विफल हो सकते हैं...

संक्षेप में

मूल रूप से, यह एक स्क्रिप्ट-किड के कोड (या एक ज्ञात-कोड) को जीरो-डे में बदल सकता है।

IDPS विफल हो जाएगा क्योंकि, सिग्नेचर बनाना लगभग असंभव है और रेगुलर एक्सप्रेशन या ह्यूरिस्टिक विश्लेषण करना मुश्किल है।

अधिकांश सैंडबॉक्स Intel के AES-NI निर्देशों का सीधे उपयोग नहीं करते हैं, इसलिए वे कोड को निष्पादित नहीं करेंगे, इसलिए उनके लिए "सब कुछ ठीक है", जबकि ऐसा नहीं है।

इस प्रकार के शेलकोड को हराने का एकमात्र तरीका उपयुक्त सैंडबॉक्सिंग और/या AI का उपयोग करना है।

बेशक DEP/NX/CANARY/ASLR को भी काम करना चाहिए।

ध्यान दें कि, पूरा निष्पादन शुद्ध असेंबली द्वारा किया जाता है, शेलकोड के निष्पादन के लिए किसी Python (या OpenSSL) की आवश्यकता नहीं है क्योंकि, मैं केवल अंतर्निहित असेंबली निर्देशों का उपयोग करता हूँ, इस प्रकार यह सिस्टम-स्वतंत्र है (निश्चित रूप से, आपको निर्देशों/opcodes को अनुकूलित करके प्रत्येक के लिए इसे असेंबल करना होगा, लेकिन वे अभी भी समान हैं)।

नोट्स

यह अभी भी प्रगति पर है, मैं Windows और BSD/Mac इंजन और PoCs को जल्द से जल्द लागू करूँगा।

IDPS और सैंडबॉक्स अतीत की बात हैं।

"परंपरा हमारी सुरक्षा बन जाती है, और जब मन सुरक्षित होता है तो वह क्षय में होता है।"

जिद्दू कृष्णमूर्ति