Strumento di Evasione Antivirus

AVET non è più in fase di sviluppo a causa di vincoli tecnici e temporali.

AVET è uno strumento di evasione antivirus, sviluppato per semplificare la vita ai pentester e per sperimentare tecniche di evasione antivirus, oltre ad altri metodi utilizzati da software dannosi. Per una panoramica delle nuove funzionalità della v2.4, nonché degli incrementi delle versioni precedenti, consulta il file CHANGELOG.

Sommario

• Installazione

• Docker

• AVET in modo semplice

• AVET in modo normale

• Documentazione (clicca per espandere)

  • Metodi di recupero dati
  • Crittografia e codifica
  • Evasione sandbox
  • Esecuzione di comandi aggiuntivi
  • Strumenti ausiliari
  • AVET & metasploit psexec
  • Esempi avversariali

• Altro

Alcune funzionalità

• quando si esegue un file .exe creato con msfpayload e simili, il file viene spesso riconosciuto dal software antivirus
• AVET è uno strumento di evasione antivirus mirato a macchine Windows con file eseguibili
• ora è possibile utilizzare diversi tipi di payload in ingresso: shellcode, exe e dll
• più tecniche disponibili: shellcode/dll injection, process hollowing e altro
• metodi flessibili di recupero per payload, chiave di decrittazione, ecc.
• utilizzo come dropper
• concatenare più iterazioni di AVET consente di aggiungere più livelli di evasione, se necessario
• combinazione di tecniche: scarica il payload crittografato tramite powershell, fornendo la chiave di decrittazione come argomento della riga di comando al momento dell'esecuzione, e infine inietta il payload in un altro processo, scegliendo tra diverse tecniche
• controlli di base per l'evasione sandbox
• generazione di esempi avversariali contro rilevatori statici basati su machine learning
• esegui tutti gli script di build disponibili con build_script_tester.py, potrebbe essere interessante anche per i ricercatori per creare un insieme di campioni "maligni" utilizzando diverse tecniche di evasione e iniezione

Nota importante

Non tutte le tecniche eluderanno tutti i motori antivirus. Se una tecnica o uno script di build non funziona, provane un'altra. Sentiti libero di sperimentare! Dopotutto, questa è una cassetta degli attrezzi: ma spetta a te usare il martello.

Installazione

Le istruzioni di installazione si applicano per Kali 64bit e tdm-gcc!

È possibile utilizzare lo script di setup:```bash ./setup.sh

Questo dovrebbe farti iniziare automaticamente installando/configurando wine e installando tdm-gcc.
Dovrai comunque cliccare attraverso l'interfaccia grafica del programma di installazione di tdm-gcc - le impostazioni standard dovrebbero andare bene.
Lo script chiederà anche se desideri installare le dipendenze di AVET, necessarie per utilizzare alcuni script di build. Le dipendenze scaricate verranno inserite in cartelle separate accanto alla cartella avet.

Le dipendenze scaricheranno le ultime versioni di:
- [pe_to_shellcode](https://github.com/hasherezade/pe_to_shellcode)
- [mimikatz](https://github.com/gentilkiwi/mimikatz)
- [DKMC](https://github.com/Mr-Un1k0d3r/DKMC)

Se per qualsiasi motivo desideri installare wine e tdm-gcc manualmente:
- [How to install tdm-gcc with wine](https://govolution.wordpress.com/2017/02/04/using-tdm-gcc-with-kali-2/)

## Docker

Se non stai usando Kali o non vuoi installare Metasploit sul tuo sistema, puoi invece utilizzare il contenitore Docker.
Il contenitore incapsula Metasploit e avet e i campioni verranno creati nella tua directory corrente.
È anche possibile utilizzare un editor di testo grafico come gedit.

Costruzione del contenitore:```bash
sudo docker build -t avet:v0.1 .

Uso:```bash sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet:v0.1 /bin/bash

Per una migliore esperienza, si consiglia di creare un alias per questo.```bash
# In your .bash_profile, .bashrc or .bash_aliases

alias avet='sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet /bin/bash'

AVET in modo semplice

avet.py è una piccola utility Python progettata per assisterti nell'uso dello strumento.

Elenca tutti gli script presenti nella cartella build. Dopo averne selezionato uno, potrai esaminare lo script riga per riga, avendo l'opportunità di modificarne i contenuti al volo.

Quest'ultima funzionalità è particolarmente utile perché puoi definire nuove variabili LHOST e LPORT per msfvenom ogni volta che esegui uno script di build tramite fabric. Puoi definire valori predefiniti di LHOST e LPORT nel file /build/global_connect_config.sh, che vengono utilizzati se non li ridefinisci.

Queste modifiche sono temporanee, il che significa che qualsiasi modifica apportata non persisterà nello script di build su disco. La versione modificata viene eseguita una volta e il tuo eseguibile viene costruito.

                   .|        ,       +
         *         | |      ((             *
                   |'|       `    ._____
     +     ___    |  |   *        |.   |' .---"|
   _    .-'   '-. |  |     .--'|  ||   | _|    |
.-'|  _.|  |    ||   '-__  |   |  |    ||      |
|' | |.    |    ||       | |   |  |    ||      |