MemoryEvasion

रेडटीमर्स के लिए एक Cobalt Strike मेमोरी एवेज़न लोडर, x86/x64 स्टेजर/स्टेजरलेस पेलोड को प्रोफाइल के साथ सपोर्ट करता है (windows7/10, winserver 2012 पर परीक्षण किया गया)

एवेज़न कैसे काम करता है?

• शेलकोड को मेमोरी में लोड करने से पहले Sleep, CreateProcessA, CreateHeap, GetProcessHeap फ़ंक्शन को हुक करें।
• बीकन के प्रोफाइल के लिए एक नया हीप बनाएं। जब बीकन GetProcessHeap या CreateHeap फ़ंक्शन को कॉल करता है, तो नए हीप का हैंडल लौटाएं।
• जब बीकन sleep फ़ंक्शन को कॉल करता है, तो हम उन मेमोरी को एन्क्रिप्ट करते हैं जहाँ बीकन और प्रोफाइल स्थित होते हैं, और जब sleep समाप्त हो जाता है, तो हम उन्हें डिक्रिप्ट करते हैं।

GetProcessheap और CreateHeap को क्यों हुक करें

• 64-बिट बीकन बीकन के प्रोफाइल के लिए मेमोरी प्राप्त करने हेतु GetProcessHeap को कॉल करता है।
• 32-बिट बीकन बीकन के प्रोफाइल के लिए मेमोरी प्राप्त करने हेतु GetProcessHeap को कॉल नहीं करता है। यह नया हीप बनाने के लिए CreateHeap का उपयोग करता है और उस हीप से बीकन के प्रोफाइल को संग्रहीत करने के लिए मेमोरी प्राप्त करता है।

डेमो

संदर्भ

यह प्रोजेक्ट निम्नलिखित के बिना संभव नहीं होता: