LOLSpoof

LOLSpoof एक इंटरैक्टिव शेल प्रोग्राम है जो स्वचालित रूप से स्पॉन की गई प्रक्रिया के कमांड लाइन आर्गुमेंट्स को नकली बनाता (spoof) है। बस अपनी संदिग्ध दिखने वाली कमांड लाइन LOLBin (जैसे powershell -w hidden -enc ZwBlAHQALQBwAHIAbwBjAGUA....) को कॉल करें और LOLSpoof सुनिश्चित करेगा कि प्रक्रिया निर्माण टेलीमेट्री वैध और स्पष्ट दिखे।

केवल 64-बिट LOLBins के लिए उपयोग करें

क्यों

प्रक्रिया कमांड लाइन एक अत्यधिक निगरानी वाली टेलीमेट्री है, जिसे एंटीवायरस/EDRs, SOC विश्लेषकों या खतरे के शिकारी (threat hunters) द्वारा बारीकी से जांचा जाता है।

कैसे

1. वास्तविक कमांड लाइन से नकली कमांड लाइन तैयार करता है: lolbin.exe " " * sizeof(real arguments)
2. उस निलंबित LOLBin को नकली कमांड लाइन के साथ स्पॉन करता है
3. रिमोट PEB का पता प्राप्त करता है
4. RTL_USER_PROCESS_PARAMETERS struct का पता प्राप्त करता है
5. कमांड लाइन यूनिकोड बफर का पता प्राप्त करता है
6. नकली कमांड लाइन को वास्तविक से बदल देता है
7. मुख्य थ्रेड को फिर से शुरू करता है

Opsec विचार

हालांकि यह सरल तकनीक कमांड लाइन डिटेक्शन को बायपास करने में मदद करती है, यह अन्य संदिग्ध टेलीमेट्री उत्पन्न कर सकती है:

1. निलंबित प्रक्रिया का निर्माण
2. नई प्रक्रिया के अंत में स्पेस होते हैं (लेकिन इसे आसानी से एक दोहराए जाने वाले वर्ण या बेतरतीब डेटा में बदला जा सकता है)
3. WriteProcessMemory के साथ स्पॉन की गई प्रक्रिया में लिखना

बिल्ड

Nim 1.6.12 के साथ बनाया गया (Nim 2.X के साथ कंपाइल करने पर त्रुटियाँ आती हैं!)

nimble install winim

ज्ञात समस्या

जो प्रोग्राम पिछले मुद्रित कंसोल संदेशों को साफ या बदलते हैं (जैसे timeout.exe 10) प्रोग्राम को तोड़ देते हैं। जब ऐसे कमांड का उपयोग किया जाता है, तो आपको कंसोल को पुनरारंभ करने की आवश्यकता होगी। इसका समाधान नहीं पता, सुझावों का स्वागत है।