NXcrypt

• NXcryptは、Hadi Mene (h4d3s) によってPythonで書かれたポリモーフィックな 'python backdoors' クリプターです。出力は完全に検出不可能です。

• NXcryptは、マルチスレッドシステムを使用して、悪意のあるPythonファイルを通常のファイルに注入できます。

• スーパーユーザー権限で実行してください。

• NXcryptの出力は完全に検出不可能です。

バックドアモジュール：

暗号化モジュール

使用方法：

• sudo ./NXcrypt.py --file=backdoor.py --output=output_backdoor.py # backdoor.pyを暗号化し、出力ファイルはoutput_backdoor.pyです
• sudo ./NXcrypt.py --file=shell.py # shell.pyを暗号化し、デフォルトの出力ファイルはbackdoor.pyですが、ソースコードで編集できます
• sudo ./NXcrypt.py --help # NXcryptのヘルプ
• sudo ./NXcrypt.py --backdoor-file=payload.py --file=test.py --output=hacked.py # payload.pyをtest.pyと共にhacked.pyに注入（マルチスレッドシステム使用）

仕組み？

• 暗号化モジュール：

• NXcryptはジャンクコードを追加します。
• NXcryptはPython内部モジュール 'py_compile' を使用してコードをバイトコードにコンパイルし、.pycファイルにします。
• NXcryptは.pycファイルを通常の.pyファイルに変換します。
• この方法でコードを難読化できます。
• md5sumも変更されます。

• 注入モジュール：

• マルチスレッドシステムを使用して、悪意のあるPythonファイルを通常のファイルに注入します。

Virustotalでのテスト

前：

SHA256: e2acceb6158cf406669ab828d338982411a0e5c5876c2f2783e247b3e01c2163 ファイル名: facebook.py 検出率: 2 / 54

後：

SHA256: 362a4b19d53d1a8f2b91491b47dba28923dfec2d90784961c46213bdadc80add ファイル名: facebook_encrypted.py 検出率: 0 / 55

クレジット

すべてのクレジットはSuspicious Shell Activityチームに帰属します。

ビデオチュートリアル

https://www.youtube.com/watch?v=s8Krngv2z9Q