InvisibilityCloak

C# のポストエクスプロイトツール向けの概念実証難読化ツールキット。C# の Visual Studio プロジェクトに対して以下の操作を実行します。

• ツール名の変更
• プロジェクト GUID の変更
• ソースコードファイル内の対応する文字列を、ユーザーが指定した難読化方式に基づいて難読化
• 1行コメントの削除 (例: // これはコメントです)
• コンパイル済みリリース .NET アセンブリの PDB 文字列オプションを削除

ブログ記事: https://securityintelligence.com/posts/invisibility-cloak-obfuscate-c-tools-evade-signature-based-detection

難読化されない文字列候補

以下の文字列候補は難読化対象から除外されます。

• 3文字未満の文字列
• 文字列補間を使用する文字列 (例: Console.WriteLine($"Hello, {name}! Today is {date.DayOfWeek}, it's {date:HH:mm} now.");)
• case 文 (静的値である必要があるため)
• const 変数 (静的値である必要があるため)
• メソッドシグネチャ内の文字列 (静的値である必要があるため)
• switch 文で使用され、静的値である必要がある " => " を含む行
• if 文で比較に使用する is (比較対象の値が静的である必要があるため)
• 正規表現内の文字列
• override 文字列 (静的値である必要があるため)
• 以下の特殊なケースの文字列 (エンコード/デコード時に問題を引き起こす可能性があるため)
  • ' で始まる、または終わる文字列
  • 行内に ""' を含むもの
  • 行内に + @" を含むもの
  • 行内に """ を含むもの
  • 行内に "" を含むもの
  • 行内に Encoding.Unicode.GetString を含むもの
  • 行内に Encoding.Unicode.GetBytes を含むもの
  • 行内に Encoding.ASCII.GetBytes を含むもの
  • " で始まり ")] で終わる行 (通常、コマンドラインスイッチに使用され、静的値である必要がある)

サポート情報

• Windows
• Linux (Debian ベースのシステム)
• Python3

引数/オプション

• -d, --directory - Visual Studio プロジェクトが配置されているディレクトリ
• -m, --method - 難読化方式 (base64, rot13, reverse)
• -n, --name - 新しいツールの名前
• -h, --help - ヘルプメニュー
• --version - ツールのバージョンを表示

使用例

文字列難読化ありで InvisibilityCloak を実行

Base64 文字列難読化

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m base64

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m base64

ROT13 文字列難読化

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m rot13

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m rot13

Reverse 文字列難読化

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m reverse

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m reverse

文字列難読化なしで InvisibilityCloak を実行

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool"

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool"

シグネチャベース検出の統計

以下の表は、InvisibilityCloak を使用した20の一般的な公開 C# ツールについて、難読化前と難読化後のシグネチャベース検出の統計を示しています。

これは特に Microsoft Defender (無料版) を対象としており、2022年4月14日時点の情報です。

コンパイル済み C# ツールのサイズ統計

以下の表は、InvisibilityCloak を使用し、さまざまな文字列難読化方式を適用した場合の、20の一般的な公開 C# ツールのファイルサイズ (難読化前と難読化後) を示しています。

ロードマップ

• 複数の C# プロジェクトファイルを含む C# プロジェクトへの対応 (マルチプロジェクトソリューション)
• 変数名とメソッド名の難読化サポート