Informazioni

Hades è un loader proof of concept che combina diverse tecniche di evasione con l'obiettivo di bypassare i meccanismi difensivi comunemente utilizzati dagli AV/EDR moderni.

Utilizzo

Il modo più semplice è probabilmente quello di compilare il progetto su Linux usando make.

git clone https://github.com/f1zm0/hades && cd hades
make

Successivamente, puoi portare l'eseguibile su un host Windows x64 ed eseguirlo con .\hades.exe [opzioni].

PS > .\hades.exe -h

  '||'  '||'     |     '||''|.   '||''''|   .|'''.|
   ||    ||     |||     ||   ||   ||  .     ||..  '
   ||''''||    |  ||    ||    ||  ||''|      ''|||.
   ||    ||   .''''|.   ||    ||  ||       .     '||
  .||.  .||. .|.  .||. .||...|'  .||.....| |'....|'

          version: dev [11/01/23] :: @f1zm0

Utilizzo:
  hades -f <percorso> [-t selfthread|remotethread|queueuserapc]

Opzioni:
  -f, --file <str>        percorso del file shellcode (.bin)
  -t, --technique <str>   tecnica di iniezione [selfthread, remotethread, queueuserapc]

Esempio:

Inietta shellcode che avvia calc.exe con la tecnica queueuserapc:

.\hades.exe -f calc.bin -t queueuserapc

Dimostrazione

Bypass dell'hooking in modalità utente con ordinamento RVA delle syscall (NtQueueApcThread hookato con frida-trace e gestore personalizzato)

Intercettatore Frida NtQueueApcThread

Bypass della callback di strumentazione con syscall indirette (la DLL iniettata proviene da syscall-detect di jackullrich)

Bypass di syscall-detect

Note aggiuntive

Versione con syscall dirette

Nell'ultima release, le capacità di syscall dirette sono state sostituite dalle syscall indirette fornite da acheron. Se per qualche motivo desideri utilizzare la versione precedente del loader che usava syscall dirette, devi passare esplicitamente il tag direct_syscalls al compilatore, che determinerà quali file includere ed escludere dalla build.

GOOS=windows GOARCH=amd64 go build -ldflags "-s -w" -tags='direct_syscalls' -o dist/hades_directsys.exe cmd/hades/main.go

Disclaimer

Attenzione
Questo progetto è stato creato solo a scopo educativo, per sperimentare con lo sviluppo di malware in Go e per saperne di più sul pacchetto unsafe e sulla strana sintassi Go Assembly. Non utilizzarlo su sistemi di cui non sei proprietario. Lo sviluppatore di questo progetto non è responsabile per eventuali danni causati dall'uso improprio di questo strumento.

Crediti

Un ringraziamento alle seguenti persone che hanno condiviso la loro conoscenza e il loro codice che hanno ispirato questo strumento:

@smelly__vx e @am0nsec, creatori di Hell's Gate
@modexp per l'eccellente post del blog Bypassing User-Mode Hooks and syscall invocation in C
@ElephantSe4l, creatore di FreshyCalls
@C_Sto, creatore di BananaPhone
@winternl per questo post del blog su Hooking Nirvana e callback di strumentazione per rilevare syscall sospette dalla modalità utente.

Licenza

Questo progetto è concesso in licenza con la licenza GPLv3 - consulta il file LICENSE per maggiori dettagli.

hades

Più Popolari