AceLdr - Evita gli Scanner di Memoria

Un caricatore riflessivo indipendente dalla posizione per Cobalt Strike. Zero risultati da Hunt-Sleeping-Beacons, BeaconHunter, BeaconEye, Patriot, Moneta, PE-sieve, o MalMemDetect.

Caratteristiche

Facile da Usare

Importa un singolo script CNA prima di generare lo shellcode.

Crittografia Dinamica della Memoria

Crea un nuovo heap per qualsiasi allocazione da Beacon e crittografa le voci prima del sonno.

Offuscamento e Crittografia del Codice

Modifica la memoria contenente il codice eseguibile di CS in non eseguibile e lo crittografa (FOLIAGE).

Spoofing dell'Indirizzo di Ritorno in Esecuzione

Alcune chiamate WinAPI vengono eseguite con un indirizzo di ritorno falsificato (InternetConnectA, NtWaitForSingleObject, RtlAllocateHeap).

Sonno Senza Sonno

Esecuzione ritardata tramite WaitForSingleObjectEx.

Crittografia RC4

Tutta la crittografia eseguita con SystemFunction032.

Problemi Noti

• Non compatibile con loader che si basano sul fatto che il thread dello shellcode rimanga attivo.

Riferimenti

Questo progetto non sarebbe stato possibile senza i seguenti:

• FOLIAGE
• Spoofing dell'indirizzo di ritorno x64 (sorgente + spiegazione)

Altre funzionalità e ispirazione sono state tratte da:

• https://www.arashparsa.com/bypassing-pesieve-and-moneta-the-easiest-way-i-could-find/
• https://github.com/secidiot/TitanLdr
• https://github.com/JLospinoso/gargoyle
• https://www.forrest-orr.net/post/masking-malicious-memory-artifacts-part-ii-insights-from-moneta
• https://www.arashparsa.com/hook-heaps-and-live-free/
• https://blog.f-secure.com/hunting-for-gargoyle-memory-scanning-evasion/
• https://www.elastic.co/blog/detecting-cobalt-strike-with-memory-signatures