DarkWidow

विंडोज़ को लक्ष्य करने वाला एक अनुकूलन योग्य ड्रॉपर टूल।

---

सम्माननीय उल्लेख:

1. BlackHat Asia, 2024 - टूल्स के लिए कॉल
2. BlackHat USA, 2024 - टूल्स के लिए कॉल
3. BlackHat SecTor, 2024 - टूल्स के लिए कॉल
4. BlackHat Europe, 2024 - टूल्स के लिए कॉल
5. Wild West Hacking Fest 2024 - शस्त्रागार

• सुमित Da उर्फ @SoumyadeepBas12 का बहुत-बहुत धन्यवाद जिन्होंने मुझे इन सम्मेलनों के लिए आवेदन करने के लिए प्रोत्साहित किया, अन्यथा मैं ऐसा नहीं कर पाता :)
• फरान उर्फ @Chrollo_l33t का बहुत-बहुत धन्यवाद जिन्होंने इस टूल के प्रेजेंटेशन के लिए स्लाइड्स और PPT बनाने में मेरी मदद की :)

---

क्षमताएँ:

1. अप्रत्यक्ष गतिशील Syscall। (MITRE ATT&CK TTP: T1106)
2. संशोधित TartarusGate दृष्टिकोण के माध्यम से SSN + Syscall पता छँटाई
3. APC अर्ली बर्ड के माध्यम से रिमोट प्रोसेस इंजेक्शन, EDR द्वारा टेलीमेट्री कैचिंग को काटने के लिए। (MITRE ATT&CK TTP: T1055.004)
4. लक्ष्य प्रक्रिया के रूप में एक बलिदान प्रक्रिया को जन्म देता है, वातावरण में पहले से खुली प्रक्रियाओं को बाधित नहीं करता।
5. जन्मी बलिदान प्रक्रिया पर ACG(मनमाना कोड गार्ड)/BlockDll शमन नीति।
6. PPID स्पूफिंग (MITRE ATT&CK TTP: T1134.004)
7. TIB से API और DLL का समाधान (सीधे ऑफसेट के माध्यम से (TIB से) -> TEB -> PEB -> Nt API को हल करें) (MITRE ATT&CK TTP: T1106)
8. शापित Nt API हैशिंग (MITRE ATT&CK ID: S0574)

बोनस: यदि व्यवस्थापक विशेषाधिकार से आशीर्वादित हो तो =>

1. EventLog सेवा थ्रेड्स को मारकर इवेंट लॉग अक्षम करता है (MITRE ATT&CK TTP: T1562.002)

नुकसान: यदि थ्रेड्स फिर से शुरू हो जाते हैं, तो इवेंट लॉगर के निलंबन के दौरान हुई सभी घटनाएँ फिर से लॉग हो जाती हैं!

इसलिए, उन्हें मारने के बारे में सोचा!

"यह निलंबन से अधिक आक्रामक है, लेकिन निर्णय हमेशा ऑपरेटर पर निर्भर करता है। इसके अलावा, थ्रेड्स को मारना कर्नेल स्तर पर लॉग हो जाता है" - @SEKTOR7net

अप्रत्यक्ष syscall इम्प्लांट में केवल उन थ्रेड्स को मारते समय, एक त्रुटि का सामना करना पड़ रहा था। मैं "eventlog" का SubProcessTag Value प्राप्त करने में असमर्थ था। इसलिए सभी थ्रेड्स को मारने के बारे में सोचा, यानी पूरी प्रक्रिया (जिम्मेदार svchost.exe) को मारना। हाँ एक IOC बनाना!।

=

1. EDR/Ring-3/UserLand हुक बाइपास

2. सिस्कॉल और रिटर्न स्टेटमेंट ntdll.dll की मेमोरी से निष्पादित होते हैं

3. कॉल स्टैक में रिटर्न एड्रेस की जाँच करने पर आधारित EDR डिटेक्शन को बायपास किया जा सकता है।

संकलन:

सीधे VS कंपाइलर के माध्यम से:

इसके अलावा /MT कंपाइलर फ्लैग जोड़ें! => बाइनरी में CRT फंक्शंस को स्थिर रूप से लिंक करने के लिए (हाँ, आपने अनुमान लगाया, यह इम्प्लांट को फुलाता है)

2. साथ ही compile.bat के माध्यम से (विकल्प 1 पसंद करें)

./compile.bat

उपयोग:

PS C:> .\x64\Release\indirect.exe
[!] गलत!
[->] सिंटैक्स: .\x64\Release\indirect.exe <PPID को स्पूफ करने के लिए>

कार्य में:

https://github.com/reveng007/DarkWidow/assets/61424547/62a90c5b-84af-4389-8ddc-9f7926debdcf

Sofos XDR एंडपॉइंट पर बिना अलर्ट बनाए सफल निष्पादन:

---

आगे सुधार:

1. PPID स्पूफिंग (Emotet विधि)
2. अधिक गुप्त इवेंट लॉग अक्षम करने का उपयोग मामला!

---

कोड के अंश और लिंक जिन्होंने मदद की:

1. TIB:

   • https://en.wikipedia.org/wiki/Win32_Thread_Information_Block
   • https://www.wikiwand.com/en/Win32_Thread_Information_Block

2. GS और FS रजिस्टर:

   • https://stackoverflow.com/questions/39137043/what-is-the-gs-register-used-for-on-windows
   • https://stackoverflow.com/questions/10810203/what-is-the-fs-gs-register-intended-for#:~:text=The%20registers%20FS%20and%20GS,to%20access%20thread%2Dspecific%20memory.

3. PEB LDR संरचना:

   • BlackHat - What Malware Authors Don't Want You to Know - Evasive Hollow Process Injection द्वारा @monnappa22

   • उपरोक्त लिंक से प्रक्रिया मेमोरी का एक चित्र:
     

   • labs.cognisys.group से, @D1rkMtr द्वारा एक ब्लॉग:
     

4. TIB -> TEB -> PEB -> Nt API हल करें और API हैशिंग

   • https://stackoverflow.com/questions/41277888/iterating-over-peb-dllname-shows-only-exe-name

   • https://doxygen.reactos.org/d7/d55/ldrapi_8c_source.html#l01124

   • labs.cognisys.group, @D1rkMtr द्वारा एक ब्लॉग

   • उपरोक्त लिंक से स्निपेट का एक चित्र, जिसका उपयोग मैंने ऑफसेट को हार्डकोड किए बिना API को गतिशील रूप से हल करने के लिए किया:
     

   • मेरे द्वारा लागू किया गया API हैशिंग कोड:

#include <stdint.h>
#include <stdio.h>
#include <Windows.h>

DWORD64 djb2(const char* str)
{
	DWORD64 dwHash = 0x7734773477347734;
	int c;

	while (c = *str++)
		dwHash = ((dwHash << 0x5) + dwHash) + c;


	return dwHash;
}

int main(int argc, char** argv)
{
	if (argc < 2)
	{
		printf("[!] गलत!\n");
		printf("[->] सिंटैक्स: .\\%s <NTFuncName>\n\n", argv[0]);
		return 1;
	}

	const char* string = argv[1];

	DWORD64 hashvalue = djb2(string);

	printf("हैश मान: 0x%llX\n", hashvalue);

	return 0;
}

5. ACG(मनमाना कोड गार्ड)/BlockDll शमन नीति:

   • लिंक:
   • Protecting Your Malware द्वारा @xpn
   • Wraith द्वारा @winterknife
   • spawn और HOLLOW द्वारा @0xBoku

6. PPID स्पूफिंग डिटेक्शन:

   • PPID Spoofing Detect द्वारा @spotheplanet
   • यदि समय मिला, तो मैं इस भाग में एक डिटेक्शन भाग जोड़ूंगा! -> [शेष................................................!]

7. Moneta डिटेक्शन और PESieve डिटेक्शन:\

   • Moneta:
     

   • PESieve:
     

8. Capa स्कैन:
   

9. इम्प्लांट प्रक्रिया का थ्रेड स्टैक कैसा दिखता है: