DarkWidow

Uno strumento Dropper personalizzabile mirato a Windows.

Menzioni d'Onore:

Un grande ringraziamento a Soumyadeep Da aka @SoumyadeepBas12 per avermi incoraggiato a candidarmi a queste conferenze, altrimenti non l'avrei mai fatto :)
Un grande ringraziamento a Faran aka @Chrollo_l33t per avermi aiutato a creare le slide e la presentazione per questo strumento :)

Capacità:

Syscall dinamico indiretto. (MITRE ATT&CK TTP: T1106)
Ordinamento degli indirizzi SSN + Syscall tramite approccio TartarusGate modificato
Iniezione di processo remota tramite APC Early Bird per TAGLIARE la telemetria intercettata dall'EDR. (MITRE ATT&CK TTP: T1055.004)
Genera un processo sacrificale come processo target, senza interrompere i processi già aperti nell'ambiente.
Politica di mitigazione ACG (Arbitrary Code Guard)/BlockDll sul processo sacrificale generato.
Spoofing PPID (MITRE ATT&CK TTP: T1134.004)
Risoluzione di Api e Dll dal TIB (direttamente tramite offset (da TIB) -> TEB -> PEB -> risoluzione Nt Api) (MITRE ATT&CK TTP: T1106)
Hashing di Nt API con la maledizione (MITRE ATT&CK ID: S0574)

Bonus: Se benedetti con privilegio Admin =>

Disabilita il registro eventi tramite uccisione dei thread del servizio EventLog (MITRE ATT&CK TTP: T1562.002)

Svantaggio: Se i thread vengono ripresi, tutti gli eventi che si sono verificati durante la sospensione del Logger eventi, vengono registrati di nuovo!

Quindi, ho pensato di ucciderli invece!

"È più invasivo della sospensione, ma la decisione spetta sempre all'operatore. Inoltre, uccidere i thread viene registrato a livello kernel" - @SEKTOR7net

Mentre uccidevo solo quei thread nell'impianto di syscall indiretto, stavo riscontrando un errore. Non sono riuscito a ottenere il valore "eventlog" SubProcessTag Value. Quindi ho pensato di uccidere tutti i thread, cioè di uccidere l'intero processo (il svchost.exe responsabile). Sì, creando un IOC!.

=

1. Bypass degli hook EDR/Ring-3/UserLand

2. La syscall e l'istruzione return vengono eseguite dalla memoria di ntdll.dll

3. Il rilevamento dell'EDR basato sul controllo dell'indirizzo di ritorno nello stack di chiamate può essere bypassato.

Compilazione:

Direttamente tramite compilatore VS:

Aggiungere anche il flag del compilatore /MT! => Per collegare staticamente le funzioni CRT in un binario (Sì, hai indovinato, gonfia l'impianto)

Anche tramite compile.bat (preferisci l'opzione 1.)

./compile.bat

Utilizzo:

PS C:> .\x64\Release\indirect.exe
[!] Sbagliato!
[->] Sintassi: .\x64\Release\indirect.exe <PPID da falsificare>

In Azione:

https://github.com/reveng007/DarkWidow/assets/61424547/62a90c5b-84af-4389-8ddc-9f7926debdcf

Esecuzione riuscita senza creare allarme su Sofos XDR EndPoint:

SofosXDREvade

Ulteriori Miglioramenti:

Spoofing PPID (metodo Emotet)
Caso d'uso Molto più Furtivo per la disabilitazione del registro eventi!

Parti del codice e link che hanno aiutato:

TIB:
- https://en.wikipedia.org/wiki/Win32_Thread_Information_Block
- https://www.wikiwand.com/en/Win32_Thread_Information_Block
Registri GS e FS:
- https://stackoverflow.com/questions/39137043/what-is-the-gs-register-used-for-on-windows
- https://stackoverflow.com/questions/10810203/what-is-the-fs-gs-register-intended-for#:~:text=The%20registers%20FS%20and%20GS,to%20access%20thread%2Dspecific%20memory.
Struttura PEB LDR:
- BlackHat - What Malware Authors Don't Want You to Know - Evasive Hollow Process Injection di @monnappa22
- Un'immagine della memoria del processo dal link sopra:
- Da labs.cognisys.group, un blog di @D1rkMtr :
TIB -> TEB -> PEB -> Risoluzione Nt API e hashing API


#include <stdint.h>
#include <stdio.h>
#include <Windows.h>

DWORD64 djb2(const char* str)
{
	DWORD64 dwHash = 0x7734773477347734;
	int c;

	while (c = *str++)
		dwHash = ((dwHash << 0x5) + dwHash) + c;


	return dwHash;
}

int main(int argc, char** argv)
{
	if (argc < 2)
	{
		printf("[!] Sbagliato!\n");
		printf("[->] Sintassi: .\\%s <NomeNTFunc>\n\n", argv[0]);
		return 1;
	}

	const char* string = argv[1];

	DWORD64 hashvalue = djb2(string);

	printf("Valore Hash: 0x%llX\n", hashvalue);

	return 0;
}

Politica di mitigazione ACG (Arbitrary Code Guard)/BlockDll:
- link:
- Protecting Your Malware di @xpn
- Wraith di @winterknife
- spawn e HOLLOW di @0xBoku
Rilevamento dello spoofing PPID:
- PPID Spoofing Detect di @spotheplanet
- Se avrò tempo, aggiungerò una parte di rilevamento a questa sezione! -> [Rimanente.................................................!]
Rilevamento Moneta e PESieve:\
- Moneta:
- PESieve:
Scansione Capa:
Aspetto dello Stack dei Thread del Processo Impianto:

Processo Impianto	Processo Cmd Legittimo

Ne consegue che eseguendo l'istruzione return nella memoria di ntdll.dll nel POC di syscall indiretto, l'indirizzo di ritorno può essere falsificato con successo, ntdll.dll può essere posizionata in cima allo stack di chiamate e l'EDR interpreterà una maggiore legittimità. - @VirtualAllocEx da DirectSyscall Vs Indirect Syscall
Grazie anche a @peterwintrsmith!

Evasione dei Callback di Strumentazione: Usato questo POC - syscall-detect di winternl_t

Configurazione EventLogger, che ho usato:

alt text

Impostazione di SeDebugPrivilege:
Da qui: A qui:
Uccisione dei Thread del Registro Eventi:
- rto-win-evasion di @SEKTOR7net
- Phant0m di @hlldz
- Goblin di @winterknife
- disabling-windows-event-logs-by-suspending-eventlog-service-threads di @spotheplanet
  Da qui:
  
  A qui:
- Questo metodo ha finito per causare errori nell'implementazione della syscall indiretta. Quindi, ho finito per uccidere tutti quei thread presenti all'interno del svchost.exe responsabile (motivo: Vai su).

Scenario di Registrazione Eventi Sophos XDR:

Caso 1: Quando Darkwidow viene eseguito con privilegi normali

Non vengono creati allarmi critici tranne un singolo log a bassa gravità!

Caso 2: Quando Darkwidow viene eseguito con privilegi di amministratore

Un log a bassa gravità => Iniezione APC (Come prima)

Un altro log a gravità media si è verificato per l'impostazione di SeDebugPrivilege.

DarkWidow V2:

Per aggirare questo rilevamento di registrazione eventi, ho aggiunto il concetto di `Synthetic Frame Thread Stack Spoofing`.

Ecco come appare lo stack dopo l'applicazione dello spoofing dello stack dei thread con frame sintetico.

Questo è lo stack dei thread dell'API NT

Questo è lo stack dei thread dello shellcode (comunque, non è fatto su misura, è lo shellcode di Havoc :)) .

Per lo sviluppo dello shellcode, ho usato havoc e questa configurazione qui sotto:

NOTA:

Lo spoofing dell'indirizzo di inizio del thread appena creato non era realmente necessario in questo progetto perché nella tecnica di iniezione APC, APC dirotta l'esecuzione di un thread già in esecuzione e legittimo. Grazie a @C5pider!

Immagine di esecuzione demo:

1708744707672

Video demo contro Sophos XDR:

Ora stato dei registri eventi?

Nessun log generato. Ho anche rimosso la parte di uccisione del Logger eventi da DarkWidow V2, il che riduce ulteriormente la generazione di eventi!

Il mio video demo al BlackHat Arsenal può essere trovato qui:

Il link alla slide e al video della mia presentazione al WildWestHackinFest può essere trovato qui:

Futuri aggiornamenti per questo:

Portare questa versione al compilatore C++ Clang, che ci aiuterebbe a eseguire l'offuscamento LLVM.
Aggiornamento a NtCreateUserProcess() per eseguire syscall indiretta e stack spoofing.
Applicazione della capacità di Manual Load Library per bypassare i callback di Image Load Kernel.
Applicazione della capacità di Module Stomping.
Iniezione di shellcode crittografato per evitare scansioni di memoria attivate dal kernel (Caro-Kann).

Rilevamento della tecnica di stack spoofing (come menzionato in uno dei miei workshop/interventi):

Ringraziamenti speciali per avermi aiutato (direttamente/indirettamente (gioco di parole NON intenzionale :))):

Spero di non aver dimenticato nessuno!

DarkWidow

Più Popolari

Informazioni

DarkWidow

Più Popolari

Informazioni

DarkWidow

Menzioni d'Onore:

Capacità:

Bonus: Se benedetti con privilegio Admin =>

=

1. Bypass degli hook EDR/Ring-3/UserLand

2. La syscall e l'istruzione return vengono eseguite dalla memoria di ntdll.dll

3. Il rilevamento dell'EDR basato sul controllo dell'indirizzo di ritorno nello stack di chiamate può essere bypassato.

Compilazione:

Aggiungere anche il flag del compilatore /MT! => Per collegare staticamente le funzioni CRT in un binario (Sì, hai indovinato, gonfia l'impianto)

Utilizzo:

In Azione:

Esecuzione riuscita senza creare allarme su Sofos XDR EndPoint:

Ulteriori Miglioramenti:

Parti del codice e link che hanno aiutato:

Scenario di Registrazione Eventi Sophos XDR:

DarkWidow V2:

Per aggirare questo rilevamento di registrazione eventi, ho aggiunto il concetto di Synthetic Frame Thread Stack Spoofing.

NOTA:

Immagine di esecuzione demo:

Video demo contro Sophos XDR:

Il mio video demo al BlackHat Arsenal può essere trovato qui:

Il link alla slide e al video della mia presentazione al WildWestHackinFest può essere trovato qui:

Futuri aggiornamenti per questo:

Rilevamento della tecnica di stack spoofing (come menzionato in uno dei miei workshop/interventi):

Ringraziamenti speciali per avermi aiutato (direttamente/indirettamente (gioco di parole NON intenzionale :))):

Questo progetto fa parte del mio percorso di apprendimento sul mondo degli EDR! => Learning-EDR-and-EDR_Evasion

Per aggirare questo rilevamento di registrazione eventi, ho aggiunto il concetto di `Synthetic Frame Thread Stack Spoofing`.