NimShellcodeFluctuation

Porting in Nim del repository originale: https://github.com/mgeeky/ShellcodeFluctuation Tutti i commenti sono stati copiati e incollati così com'erano dal repository originale, perché mi hanno davvero aiutato a comprendere la tecnica. Per maggiori informazioni sulla tecnica in sé, consiglio vivamente di consultare il README del repository originale!

Installa le dipendenze:

nimble install winim ptr_math

Sono pienamente consapevole del fatto che questa tecnica di crittografia della memoria non sia la migliore in termini di OpSec. Cripterà esattamente solo quelle regioni che sono state definite per essa. Quindi, ad esempio per un C2-Implant, tutti gli indirizzi di memoria dei moduli appena eseguiti non verranno crittografati durante Sleep. Per le rilevazioni basate su Heap (come quelle per la configurazione di Cobalt-Strike) sarebbe comunque necessario aggiungere qui la crittografia dell'Heap.

Tuttavia, la tecnica di crittografia della memoria può essere usata perfettamente per evitare le rilevazioni degli scanner automatici della memoria durante Sleep for the main C2-Implant. Ho testato con successo la PoC con Covenant e un payload stageless personalizzato come questo.

La chiave di crittografia/decrittografia, l'indirizzo dello Shellcode e altri valori come la protezione (RW) devono essere definiti manualmente in questo Port. Nel repository originale l'indirizzo del chiamante dello Shellcode veniva recuperato automaticamente.

Il file Example.nim contiene tutto ciò che serve per iniziare. Ovviamente, quando si usa C2-Shellcode, non è necessario chiamare Sleep da soli (serve solo per attivare tutto per la PoC), dovrebbe occuparsene il C2 stesso. Per il momento è compatibile solo con framework C2 che usano la funzione Win32 Sleep, ma se modifichi l'Hook per un'altra funzione funzionerà allo stesso modo.

import winim
import Fluctuation

echo "Trying to hook Sleep"

if (hookSleep()):
    echo "Hooked Sleep successfully!"
    
    type
      PocArray = array[12, byte]
    let names: PocArray = [byte 0xAA,0xAA,0xAA,0xAA,0xAA,0xAA,0xAA,0xAA,0xAA,0xAA,0xAA,0xAA]
    g_fluctuationData.shellcodeAddr = unsafeAddr names[0]
    echo "Shellcode address:"
    echo repr(g_fluctuationData.shellcodeAddr)
    g_fluctuationData.shellcodeSize = size_t(len(names))
    echo "Shellcode Size:"
    echo repr(g_fluctuationData.shellcodeSize)
    when defined(amd64):
        g_fluctuationData.encodeKey = 0xDEADB33f
    when defined(i386):
        g_fluctuationData.encodeKey = 0xDEAD
    g_fluctuationData.currentlyEncrypted = false
    g_fluctuationData.protect = PAGE_READWRITE
    g_fluctuate = FluctuateToRW
    
    echo "Calling Sleep"
    Sleep(2500)
    echo "Everything went fine and as expected"
else:
    echo "Failed to hook Sleep"
    quit(1)

Testare la PoC di crittografia può essere fatto, ad esempio, in questo modo:

nim c --debuginfo --linedir:on Example.nim

Avvia con un debugger:

gdb Example.exe

Imposta i breakpoint prima e dopo Sleep:

# Before encryption
break Example.nim:31
# After encryption
break Fluctuation.nim:98
# Original value restored
break Example.nim:33

Successivamente, verifica il valore dell'indirizzo dello Shellcode per ogni breakpoint in questo modo:

Problemi noti/ToDo

La Fluctuation verso NA non funziona ancora, poiché il Vectored Exception Handler non è mai stato attivato nel mio test e l'applicazione andava in crash. Dovrò fare ulteriori test/risoluzione dei problemi in futuro. Sentiti libero di testare tu stesso! :-)