xeca

xeca è un progetto che crea payload PowerShell crittografati per scopi offensivi.

È anche possibile creare shellcode indipendente dalla posizione a partire da file DLL.

Nota: Inserisci il tuo bypass AMSI personalizzato in src/assets/amsi-bypass.ps1.

Sommario

• xeca
  • Installazione
  • Come funziona
  • Mitigazioni
  • Esempi
    • Covenant
    • Empire
    • Merlin
    • Sliver
  • Ringraziamenti
  • Licenza

Installazione

Prima di tutto, assicurati che Rust sia installato, poi compila il progetto con il seguente comando:

cargo build

Come funziona

1. Identifica e crittografa il payload. Carica il payload crittografato in uno script PowerShell e salvalo in un file chiamato "launch.txt".
2. La chiave per decrittografare il payload viene salvata in un file chiamato "safe.txt".
3. Esegui "launch.txt" su un host remoto.
   • Lo script contatterà il server web definito dall'attaccante per recuperare la chiave di decrittografia "safe.txt".
   • Decrittografa il payload in memoria.
   • Esegui il payload previsto in memoria.

Mitigazioni

Se gli utenti devono avere accesso a programmi come powershell.exe, si consiglia di ridurre al minimo i rischi per la sicurezza con Just Enough Administration e PowerShell Logging. Le policy di controllo applicazioni possono essere distribuite tramite una tecnologia di whitelisting come AppLocker.

Esempi

Covenant

Payload donut .NET assembly di Covenant.

Empire

Payload PowerShell di Empire.

Merlin

Payload DLL di Merlin.

Sliver

Payload shellcode di Sliver.

Ringraziamenti

Questo strumento non sarebbe stato possibile senza la condivisione di conoscenze e informazioni. Vanno ringraziati gli autori di idee, frammenti di codice e codice: @monoxgas
@H0neyBadger
@TheWover
@stephenfewer
@dismantl
@tandasat
@cobbr

Licenza

xeca è concesso in licenza GPLv3; alcuni sottocomponenti potrebbero avere licenze separate. Per i dettagli, consultare i rispettivi riferimenti in questo progetto.