hlldz/reflexxion
RefleXXion è uno strumento progettato per aiutare a bypassare gli hook in modalità utente utilizzati da AV/EPP/EDR ecc. Per bypassare gli hook in modalità utente, raccoglie prima i numeri delle syscall di NtOpenFile, NtCreateSection, NtOpenSection e NtMapViewOfSection presenti nell'array LdrpThunkSignature.
RefleXXion è un'utilità progettata per aiutare a bypassare gli hook in modalità utente utilizzati da AV/EPP/EDR ecc. Per bypassare gli hook in modalità utente, prima raccoglie i numeri di syscall di NtOpenFile, NtCreateSection, NtOpenSection e NtMapViewOfSection trovati nell'array LdrpThunkSignature. Dopodiché, ci sono due tecniche tra cui l'utente può scegliere per bypassare gli hook in modalità utente.
Tecnica-1, legge la NTDLL come file da C:\Windows\System32\ntdll.dll. Dopo l'analisi, la sezione .TEXT della NTDLL già caricata (dove vengono effettuati gli hook) in memoria viene sostituita con la sezione .TEXT della NTDLL pulita.
Nella Tecnica-2, la NTDLL viene letta come Section da KnownDlls, \KnownDlls\ntdll.dll. (perché i file DLL sono memorizzati nella cache in KnownDlls come Section.) Dopo l'analisi, la sezione .TEXT della NTDLL già caricata (dove vengono effettuati gli hook) in memoria viene sostituita con la sezione .TEXT della NTDLL pulita.
Il flusso dettagliato della metodologia e di tutte le tecniche è riportato di seguito.
Puoi aprire e compilare il progetto con Visual Studio. L'intero progetto supporta l'architettura x64 sia per le modalità Debug che Release.
La soluzione RefleXXion-EXE genera l'EXE a scopo di PoC. Se vuoi capire come funziona il progetto passo dopo passo, ti semplificherà il lavoro. La funzione principale contiene le definizioni delle funzioni Technique1 e Technique2. Commentane una e compila. Non utilizzare entrambe le funzioni contemporaneamente.
La soluzione RefleXXion-DLL genera la DLL che inietti nel processo per il quale vuoi bypassare gli hook in modalità utente di NTDLL. All'inizio del file main.cpp, ci sono le definizioni di quale tecnica utilizzare. Puoi sceglierne una e compilare. Non impostare tutti i valori contemporaneamente, imposta solo la tecnica desiderata. Di seguito viene fornita una configurazione di esempio.
// Techniques configuration section
#define FROM_DISK 1 // If you set it to 1, the Technique-1 will be used. For more information; https://github.com/hlldz/RefleXXion
#define FROM_KNOWNDLLS 0 // If you set it to 1, the Technique-2 will be used. For more information; https://github.com/hlldz/RefleXXion
RefleXXion attualmente supporta solo l'architettura x64.
RefleXXion rimuove solo gli hook dalle funzioni di NTDLL, potresti aver bisogno di rimuovere gli hook anche da altre DLL (kernel32.dll, advapi32.dll ecc.). Per questo, puoi modificare facilmente i punti necessari nel progetto.
RefleXXion utilizza la regione di memoria RWX solo quando inizia il processo di sovrascrittura della sezione .TEXT. Per questo processo non viene creata una nuova regione di memoria, la regione di memoria esistente (la sezione .TEXT della NTDLL già caricata) viene resa RWX e poi convertita in RX.
ULONG oldProtection;
ntStatus = NtProtectVirtualMemory(NtCurrentProcess(), &lpBaseAddress, &uSize, PAGE_EXECUTE_READWRITE, &oldProtection);
memcpy()...
ntStatus = NtProtectVirtualMemory(NtCurrentProcess(), &lpBaseAddress, &uSize, oldProtection, &oldProtection);
Puoi caricare la DLL di RefleXXion dal disco nel processo target. Potresti non preferire un'esecuzione come questa per lavori sensibili come un'operazione Red Team. Pertanto, puoi convertire la DLL di RefleXXion in shellcode utilizzando il progetto sRDI o integrare il codice di RefleXXion nel tuo loader o progetto.
Anche se NTDLL (come file o come sezione) viene ricaricata nel processo iniettato, non rimane caricata. RefleXXion chiude tutti gli handle aperti (handle di file e sezione) per i propri processi.