secretsquirrel/recomposerयादृच्छिक रूप से Win32/64 PE फ़ाइलों को मैलवेयर और सैंडबॉक्स साइटों पर 'सुरक्षित' अपलोडिंग के लिए बदलता है
क्या आपको कभी अपने मैलवेयर बाइनरी को VirusTotal या अन्य AV साइटों पर अपलोड करने में असुरक्षित महसूस हुआ है क्योंकि हैश के आधार पर बाइनरी खोजी जा सकती हैं? (उदाहरण: https://github.com/mubix/vt-notify)
Recomposer के साथ कुछ अधिक सुरक्षित महसूस करें!*
Recomposer आपकी बाइनरी लेगा और यादृच्छिक रूप से निम्नलिखित करेगा:
वैसे, आपकी फ़ाइल फिर भी निष्पादित होगी, तो अपलोड करें!*
win32/64 PE फ़ाइलों का समर्थन करता है!!
दो मोड:
एक बाइनरी से 11200 नमूने बनाकर परीक्षण किया गया। परिणाम:
./recomposer.py -f live.sysinternals.com/Tcpview.exe -a
Old file name: live.sysinternals.com/Tcpview.exe
New file name: zYmycO4NO2LYW.exe
[*] Checking if binary is supported
[*] Gathering file info
1 Section: .text | SectionFlags: 0x60000020
2 Section: .rdata | SectionFlags: 0x40000040
3 Section: .data | SectionFlags: 0xc0000040
4 Section: .rsrc | SectionFlags: 0x40000040
[*] Changing Section .text Name
[*] Changing Section .rdata Name
[*] Changing Section .data Flags
[*] Changing Section .data Name
[*] Changing Section .rsrc Name
Updated Binary:
updatedfile/zYmycO4NO2LYW.exe
[*] Checking if binary is supported
[*] Gathering file info
1 Section: .mhz | SectionFlags: 0x60000020
2 Section: .p1k | SectionFlags: 0x40000040
3 Section: .FSr0U | SectionFlags: 0xd0000443
4 Section: .q2X | SectionFlags: 0x40000040
Writing to log_recomposer.txt
आपको यह चेतावनी दिख सकती है:
[!] Warning, .text section hash is not changed!
[!] No caves available for nop injection.
जिसका अर्थ है कि .text सेक्शन हैश मूल फ़ाइल के समान होगा और एक बार Google VT परिणामों को इंडेक्स करने के बाद (यदि आप फ़ाइल अपलोड करते हैं तो निश्चित रूप से) यह (वेब पर) खोजा जा सकता है। यदि ऐसा होता है, तो पुनर्संयोजित फ़ाइल का upx एन्कोडिंग उस समस्या का ध्यान रखेगा (जब तक कि फ़ाइल पहले से upx एन्कोडेड न हो)।
Recomposer पूरा होने के बाद, आपकी फ़ाइल updatedfile निर्देशिका में होगी। बेझिझक इसे अपनी पसंदीदा मैलवेयर सैंडबॉक्स सेवा पर अपलोड करें!
एक सरल PE एडिटर:
./recomposer.py -f live.sysinternals.com/Tcpview.exe -m
[*] Checking if binary is supported
[*] Gathering file info
[?] What sections would you like to change:
1 Section: .text | SectionFlags: 0x60000020
2 Section: .rdata | SectionFlags: 0x40000040
3 Section: .data | SectionFlags: 0xc0000040
4 Section: .rsrc | SectionFlags: 0x40000040
Section number:1
[-] You picked the .text section.
[?] Would you like to (A) change the section name or (B) the section flags? b
[-] You picked: b
=========================
[*] Current attributes:
.text | 0x60000020
[-] IMAGE_SCN_MEM_READ, IMAGE_SCN_MEM_EXECUTE
[-] IMAGE_SCN_CNT_CODE
=========================
[*] Commands 'zero' out the flags, 'help', 'write', or ('exit', 'quit', 'q', 'done')
[*] Use 'write' to commit your changes or 'clear' to start over.
[?] Enter an attribute to add or type 'help' or 'exit':
[...]
बस मेनू का पालन करें और आपके परिणाम updatedfile निर्देशिका में change.filename.exe के रूप में होंगे या जो भी आउटपुट आपने -o फ़्लैग का उपयोग करते समय चुना था।
यदि आप भ्रमित हैं कि आपकी फ़ाइलें कहाँ हैं, तो बदली गई फ़ाइलों के स्थान और हैश के लिए log_recomposer.txt देखें:
filename|filename_hash|changedfile|changedfile_hash
psinfo.exe|ae1554f2c1b1454a91c5610747603824|updatedfile/8dV5.exe|791ff4d4b2010accebc718afda58f83a
psexec.exe|d0df366711c8b296680002840336b6fd|updatedfile/udi6ieIVFi.exe|6fafa108d697a46a271a918436e60cd5
live.sysinternals.com/Tcpview.exe|9aa5a93712c584acdcaa7eef9d25ef4d|updatedfile/zYmycO4NO2LYW.exe|fd984b833443c457668a480a37cf9904
live.sysinternals.com/Tcpview.exe|9aa5a93712c584acdcaa7eef9d25ef4d|updatedfile/change.Tcpview.exe|c43eeec089a3e4f9e6fd0218a27ca4c2
*Recomposer मैलवेयर को अपने मालिक को सूचित करने से नहीं रोकता कि उनकी बाइनरी अपेक्षित वातावरण के बाहर चल रही है।**
**अर्थात: आपका वातावरण।***
***लेकिन अगर आपको परवाह नहीं है, तो करें!