Strumento di evasione antivirus in Python
Phantom-Evasion è uno strumento di evasione antivirus scritto in Python (compatibile sia con Python che con Python3) in grado di generare eseguibili (quasi) completamente non rilevabili anche con i payload x86 più comuni di msfvenom.
I seguenti sistemi operativi supportano ufficialmente l'installazione automatica:
I seguenti sistemi operativi probabilmente supportano l'installazione automatica ma richiedono l'installazione manuale di metasploit-framework:
I seguenti sistemi operativi richiedono l'installazione manuale:
Basta clonare con git o scaricare e decomprimere la cartella Phantom-Evasion
Installazione automatica, apri un terminale ed esegui:
python3 phantom-evasion.py --setup
oppure:
chmod +x ./phantom-evasion.py
./phantom-evasion.py --setup
oppure avvia phantom-evasion in modalità interattiva e seleziona l'opzione 7
python3 phantom-evasion.py
oppure:
./phantom-evasion.py
python3 phantom-evasion.py --help
oppure:
./phantom-evasion.py --help
-Ogni modulo C di payload Windows può essere compilato (supporta sia x86 che x64) come EXE o DLL/ReflectiveDLL.
-Iniezione di junkcode randomizzata (l'intensità, la frequenza e la probabilità di reiniezione possono essere impostate) e tecniche di evasione antivirus Windows (la frequenza può essere impostata).
-Crittografia shellcode/file Multibyte Xor/Vigenere supportata sia nei moduli Shellcode injection che Donwload Exec.
-Tecniche di Ntdll unhookapi e di mascheramento del processo PEB supportate.
-Ampia gamma di modalità di esecuzione supportate (sia locali che remote).
-Ampia gamma di modalità di allocazione della memoria del payload (Virtual_RWX, Virtual_RW/RX, Virtual_RW/RWX, Heap_RWX).
-È possibile impostare il caricamento dinamico delle API di Windows.
-Supporto per spoofing e firma dei certificati.
-Strip eseguibile (https://en.wikipedia.org/wiki/Strip_(Unix))
Payload Windows di msfvenom e shellcode personalizzati supportati. Lo shellcode può essere memorizzato come risorsa e recuperato in runtime tramite l'API FindResource.
Crittografia dello shellcode supportata:
1. nessuna
2. Multibyte-Xor
3. Multibyte-Xor a chiave doppia
4. Vigenere
5. Vigenere a chiave doppia
Il metodo di esecuzione locale può essere uno dei seguenti:
Thread
APC
La modalità di allocazione della memoria locale può essere una delle seguenti:
Virtual_RWX
Virtual_RW/RX
Virtual_RW/RWX
Heap_RWX
Il metodo di esecuzione remota può essere uno dei seguenti:
ThreadExecutionHijack (abbreviato TEH)
Processinject (abbreviato PI)
APCSpray (abbreviato APCS)
EarlyBird (abbreviato EB)
EntryPointHijack (abbreviato EPH)
La modalità di allocazione della memoria remota può essere una delle seguenti:
Virtual_RWX
Virtual_RW/RX
Virtual_RW/RWX
Moduli stager meterpreter in C puro (TCP/HTTP/HTTPS) compatibili con msfconsole e Cobalt Strike Beacon. (reverse_tcp/reverse_http/reverse_https)
Usando la modalità da riga di comando:
reverse_tcp c stager è WRT
reverse_http c stager è WRH
reverse_https c stager è WRS
Il metodo di esecuzione locale può essere uno dei seguenti:
Thread
APC
La modalità di allocazione della memoria locale può essere una delle seguenti:
Virtual_RWX
Virtual_RW/RX
Virtual_RW/RWX
Heap_RWX
Scarica exe/dll dall'URL fornito in memoria ed esegue/carica nel processo remoto (senza scrivere su disco).
Download crittografato EXE/DLL supportato:
1. nessuna
2. Multibyte-Xor
3. Multibyte-Xor a chiave doppia
4. Vigenere
5. Vigenere a chiave doppia
La DLL/EXE crittografata verrà salvata come nomefileoriginale + "crypt" + ".dll" o ".exe"; questo è il file da scaricare.
Windows DownloadExecExe senza scrittura su disco (WDE usando la modalità da riga di comando):
Il metodo di esecuzione remota può essere uno dei seguenti:
ProcessHollowing (abbreviato PH)
Windows DownloadExecDll senza scrittura su disco (WDD usando la modalità da riga di comando):
Il metodo di caricamento remoto può essere uno dei seguenti:
ReflectiveDll (abbreviato RD)
RDAPC (ReflectiveDllAPC)
ManualMap (abbreviato MM) ---> solo x86
Payload Linux di msfvenom e shellcode personalizzati supportati.
Backdoor offuscata Android con msfvenom:
Offusca i payload di msfvenom e li ricostruisce (smali/baksmali) con apktool. Il payload offuscato può essere utilizzato per infettare file APK benigni.
Persistenza Windows RegCreateKeyExW Aggiunta chiave di registro (C) L'eseguibile compilato deve essere caricato sulla macchina target ed eseguito specificando come argomento il percorso completo del file da aggiungere all'avvio.
Persistenza Windows REG Aggiunta chiave di registro (CMD) Questo modulo genera payload di persistenza da riga di comando (Aggiunta chiave di registro tramite REG.exe).
Persistenza Windows Mantieni processo attivo (C) L'eseguibile compilato deve essere caricato sulla macchina target ed eseguito. Utilizza CreateToolSnapshoot, ProcessFirst e ProcessNext per verificare se il processo specificato è attivo ogni X secondi (in caso contrario, crea un nuovo processo usando l'API WinExec)
Persistenza Windows Schtasks (CMD)
Questo modulo genera payload di persistenza da riga di comando (usando Schtasks.exe).
Persistenza Windows Crea servizio (CMD)
Questo modulo genera payload di persistenza da riga di comando (usando sc.exe).