व्यावहारिक मैलवेयर विकास

अभ्यास 1 - पर्यावरण सेटअप

1. किसी हाइपरवाइज़र के भीतर Windows वर्चुअल मशीन सेटअप करें। a. अपने बेस इंस्टॉलेशन का स्नैपशॉट लेना सुनिश्चित करें।
2. Visual Studio 2022 डाउनलोड और इंस्टॉल करें - https://visualstudio.microsoft.com/vs/ a. इंस्टॉल करते समय Desktop development with C++ वर्कलोड चुनें
3. डाउनलोड करें और इंस्टॉल करें:
   • DebugView++ - https://github.com/CobaltFusion/DebugViewPP
   • PE Bear - https://github.com/hasherezade/pe-bear
   • ProcMon - https://learn.microsoft.com/en-us/sysinternals/downloads/procmon
   • Ghidra - https://www.ghidra-sre.org/
   • Everything - https://www.voidtools.com/

इसके अतिरिक्त (वैकल्पिक), अधिक संपूर्ण रिवर्सिंग अनुभव के लिए, सिंबल सेटअप करें:

setx _NT_SYMBOL_PATH c:\Symbols;srv*c:\Symbols*https://msdl.microsoft.com/download/symbols

mkdir \symbols

4. Visual Studio के भीतर PMD.sln खोलें।

5. setup प्रोजेक्ट चुनें, और सुनिश्चित करें कि आप:

   a. प्रोजेक्ट कंपाइल कर सकते हैं

   b. DebugView++ के भीतर डिबग प्रिंट स्टेटमेंट देख सकते हैं।

अभ्यास 2 - PE गुणों को समझना

1. IAT एंट्रीज़ और अन्य PE गुणों को बदलने के लिए template प्रोजेक्ट के कंपाइलर और लिंकर फ़्लैग अपडेट करें।

   a. डायनेमिक API रिज़ॉल्यूशन और MSDN दस्तावेज़ों के साथ सहज हो जाएं।

   b. क्या कोई अन्य गुण सामने आते हैं? यदि आप बाइनरी पर Strings.exe चलाते हैं, तो क्या कोई स्ट्रिंग्स उभरकर सामने आती हैं?

   c. क्या आप उन्हें हटा/अपडेट कर सकते हैं?

अभ्यास पूरा करने के लिए अपनी पसंद का कोई भी टूल उपयोग करें (जैसे dumpbin/PE Bear)। scripts\props.py के अंतर्गत pefile के चारों ओर एक रैपर प्रदान किया गया है (सुनिश्चित करें कि आप आवश्यकताएँ इंस्टॉल करें)।

2. VXUG से कुछ मैलवेयर नमूने डाउनलोड करें।

   a. बेनाइन (हानिरहित) और मैलिशस (दुर्भावनापूर्ण) एक्ज़ीक्यूटेबल्स के बीच मुख्य अंतर क्या हैं?

   b. हमारे बाइनरी और बेनाइन एक्ज़ीक्यूटेबल्स के बीच मुख्य अंतर क्या हैं?

अतिरिक्त संसाधन

• https://learn.microsoft.com/en-us/cpp/build/reference/dumpbin-reference?view=msvc-170
• https://learn.microsoft.com/en-us/windows/win32/debug/pe-format
• https://learn.microsoft.com/en-us/previous-versions/ms809762(v=msdn.10)
• https://cloud.google.com/blog/topics/threat-intelligence/tracking-malware-import-hashing/
• https://github.com/rad9800/misc/blob/main/generic/fix-entropy.cpp
• https://github.com/rad9800/misc/blob/main/generic/stack-strings.cpp

अभ्यास 3 - कंपाइल टाइम API हैशिंग

वर्तमान में उपयोग किया जाने वाला API हैशिंग एल्गोरिदम fnv1a है।

1. solution प्रोजेक्ट खोलें और API हैशिंग फ्रेमवर्क का उपयोग करके MessageBoxA को कॉल करें।
2. एक अलग हैशिंग एल्गोरिदम उपयोग करें और सुनिश्चित करें कि आप अभी भी MessageBoxA को कॉल कर सकते हैं।

अतिरिक्त संसाधन

• https://github.com/vxunderground/VX-API/tree/main/VX-API
• https://learn.microsoft.com/en-us/windows/win32/api/winuser/nf-winuser-messageboxa

अभ्यास 4 - DLL हाइजैकिंग खोजें और उसका लाभ उठाएं

1. Cisco Webex डाउनलोड करें (https://www.webex.com/downloads.html)

2. CiscoCollabHost खोजें और देखें कि कौन-सी DLL लोड होती हैं

   • Procmon/PE Bear/Ghidra या जो भी उपयोग करें!

3. Ghidra में CiscoCollabHost खोलें और साइडलोडिंग से कोड निष्पादन प्राप्त करने के विभिन्न तरीकों की पहचान करें

4. अपने लक्षित बाइनरी को साइडलोड करने के लिए dll_template को संपादित करें। सत्यापित करें कि आप DebugView++ में डिबग स्ट्रिंग देख सकते हैं।

5. लक्षित DLL से मेल खाने के लिए dll_template.dll का LastWriteTime और CreationTime अपडेट करें।

अतिरिक्त संसाधन

• https://hijacklibs.net/
• https://github.com/sadreck/Spartacus

अभ्यास 5 - शेलकोड निष्पादन

1. यूटिलिटी प्रोजेक्ट को कंपाइल करें और चलाएं।

   a. इसके अतिरिक्त, इसे अपने होस्ट सिस्टम पर चलाने पर विचार करें।

2. पहचानी गई DLL को x64/{Debug,Release} निर्देशिका में कॉपी करें और लोडर कोड अपडेट करें।

3. API हैशिंग फ्रेमवर्क के साथ एक अलग फ़ंक्शन का उपयोग करके अपने शेलकोड को निष्पादित करने के लिए execute_sc अपडेट करें।

अतिरिक्त संसाधन

• https://github.com/Wra7h/FlavorTown

अभ्यास 6 - सब कुछ एक साथ जोड़ना

1. एक नया DLL प्रोजेक्ट बनाएं और साथ में जोड़ें: a. DLL साइडलोडिंग b. साइडलोड से शेलकोड निष्पादन
2. सत्यापित करें कि आपके PE गुण अपेक्षित हैं।
3. अपने पेलोड को Release में कंपाइल करें और डिलीवरी के लिए उपयुक्त प्रारूप में पैकेज करें।

अभ्यास 7 - पेलोड होस्टिंग

1. किसी क्लाउड स्टोरेज प्रदाता (जैसे AWS/CloudFlare) के लिए साइन अप करें

2. अपने पेलोड को पैकेज करें और उसे अपलोड करें

   a. इसके अतिरिक्त, डाउनलोड एक्सेस को सीमित/ऑडिट करने के तरीकों की जांच करें

3. अपने VM का स्नैपशॉट लें

4. बेस VM पर वापस जाएं और अपना पूरा "डिलीवरी" परिदृश्य चलाएं

   • जैसे किसी उपयोगकर्ता को URL पर ले जाना और उनसे डाउनलोड करवाना। सुनिश्चित करें कि यह काम करता है।

अभ्यास 8 - Github Actions के साथ पेलोड बनाना

1. इस प्रोजेक्ट की सामग्री के साथ एक Git रिपॉजिटरी बनाएं
2. सत्यापित करें कि आप Action चला सकते हैं और आर्टिफैक्ट काम करते हैं
3. समय बचाने के लिए .github\workflows\build.yml को अपडेट करें ताकि आप चाहें तो अतिरिक्त प्री/पोस्ट प्रोसेसिंग कर सकें। यहाँ कुछ विचार हैं:
   • props.py चलाएं और आउटपुट को सत्यापित/शामिल करें
   • Python में पेलोड पैकेजिंग को स्वचालित करें
   • किसी लक्ष्य से मेल खाने के लिए LastWriteTime और CreationTime को अपडेट करने को स्वचालित करें