SysWhispersは、インプラントが直接システムコールを実行できるようにするヘッダー/ASMファイルを生成することで、検知回避を支援します。
Discordで交流しましょう！
SysWhispers3が独立したバージョンである理由は多々ありますが、最も重要な理由は以下の通りです：
使用方法はSysWhispers2とほぼ同じですが、以下の点が異なります：
これらの機能の詳細は、ブログ記事SysWhispers is dead, long live SysWhispers!でより詳しく説明されています。
AVやEDRなどのセキュリティ製品は、通常、ユーザーモードAPI関数にフックを仕掛け、プログラムの実行フローを分析することで、潜在的に悪意のある活動を検出します。
SysWhispers2は、コアカーネルイメージ（ntoskrnl.exe）内の任意のシステムコールに対してヘッダー/ASMペアを生成し、C/C++コードから直接呼び出してユーザーランドのフックを回避できるように設計されたツールです。
しかし、このツールはシグネチャに含まれる可能性のあるパターンや、実行時に検出可能な動作を生成します。
SysWhispers3はSysWhispers2をベースに構築され、これらの検出方法をバイパスするための便利な機能を統合しています。
C:\> git clone https://github.com/klezVirus/SysWhispers3.git
C:\> cd SysWhispers3
C:\> python .\syswhispers.py --help
ヘルプには、ツールのすべてのコマンドと機能が表示されます：
C:\>python syswhispers.py -h
usage: syswhispers.py [-h] [-p PRESET] [-a {x86,x64}] [-m {embedded,egg_hunter,jumper,jumper_randomized}] [-f FUNCTIONS] -o OUT_FILE [--int2eh] [--wow64] [-v] [-d]
SysWhispers3 - SysWhispers on steroids
optional arguments:
-h, --help show this help message and exit
-p PRESET, --preset PRESET
Preset ("all", "common")
-a {x86,x64}, --arch {x86,x64}
Architecture
-c {msvc,mingw,all}, --compiler {msvc,mingw,all}
Compiler
-m {embedded,egg_hunter,jumper,jumper_randomized}, --method {embedded,egg_hunter,jumper,jumper_randomized}
Syscall recovery method
-f FUNCTIONS, --functions FUNCTIONS
Comma-separated functions
-o OUT_FILE, --out-file OUT_FILE
Output basename (w/o extension)
--int2eh Use the old `int 2eh` instruction in place of `syscall`
--wow64 Use Wow64 to run x86 on x64 (only usable with x86 architecture)
-v, --verbose Enable debug output
-d, --debug Enable syscall debug (insert software breakpoint)
# Export all functions with compatibility for all supported Windows versions (see example-output/).
py .\syswhispers.py --preset all -o syscalls_all
# Export just the common functions (see below for list).
py .\syswhispers.py --preset common -o syscalls_common
# Export NtProtectVirtualMemory and NtWriteVirtualMemory with compatibility for all versions.
py .\syswhispers.py --functions NtProtectVirtualMemory,NtWriteVirtualMemory -o syscalls_mem
# Normal SysWhispers, 32-bits mode
py .\syswhispers.py --preset all -o syscalls_all -m jumper --arch x86
# Normal SysWhispers, using WOW64 in 32-bits mode (only specific functions)
py .\syswhispers.py --functions NtProtectVirtualMemory,NtWriteVirtualMemory -o syscalls_mem --arch x86 --wow64
# Egg-Hunting SysWhispers, to bypass the "mark of the sycall" (common function)
py .\syswhispers.py --preset common -o syscalls_common -m egg_hunter
# Jumping/Jumping Randomized SysWhispers, to bypass dynamic RIP validation (all functions) using MinGW as the compiler
py .\syswhispers.py --preset all -o syscalls_all -m jumper -c mingw
PS C:\Projects\SysWhispers2> py .\syswhispers.py --preset common --out-file temp\syscalls_common -v
. ,--.
,-. . . ,-. . , , |-. o ,-. ,-. ,-. ,-. ,-. __/
`-. | | `-. |/|/ | | | `-. | | |-' | `-. . \
`-' `-| `-' ' ' ' ' ' `-' |-' `-' ' `-' '''
/| | @Jackson_T
`-' ' @modexpblog, 2021
Edits by @klezVirus, 2022
SysWhispers3: Why call the kernel when you can whisper?
Common functions selected.
Complete! Files written to:
temp\syscalls_common.h
temp\syscalls_common.c
temp\syscalls_common_.asm
Press a key to continue...
64ビット用Makefile:
Makefile.msvc
OPTIONS = -Zp8 -c -nologo -Gy -Os -O1 -GR- -EHa -Oi -GS-
LIBS = libvcruntime.lib libcmt.lib ucrt.lib kernel32.lib
program:
ML64 /c syscalls-asm.x64.asm /link /NODEFAULTLIB /RELEASE /MACHINE:X64
cl.exe $(OPTIONS) syscalls.c program.c
link.exe /OUT:program.x64.exe -nologo $(LIBS) /MACHINE:X64 -subsystem:console -nodefaultlib syscalls-asm.x64.obj syscalls.obj program.obj
32ビット用Makefile:
Makefile.msvc
OPTIONS = -Zp8 -c -nologo -Gy -Os -O1 -GR- -EHa -Oi -GS-
LIBS = libvcruntime.lib libcmt.lib ucrt.lib kernel32.lib
program:
ML /c syscalls-asm.x86.asm /link /NODEFAULTLIB /RELEASE /MACHINE:X86
cl.exe $(OPTIONS) syscalls.c program.c
link.exe /OUT:program.x86.exe -nologo $(LIBS) /MACHINE:X86 -subsystem:console -nodefaultlib syscalls-asm.x86.obj syscalls.obj program.obj
nmakeでコンパイル:
nmake -f Makefile.msvc
64ビットおよび32ビット両方用Makefile:
Makefile.mingw
CC_x64 := x86_64-w64-mingw32-gcc
CC_x86 := i686-w64-mingw32-gcc
OPTIONS := -masm=intel -Wall
program:
$(CC_x64) syscalls.c program.c -o program.x64.exe $(OPTIONS)
$(CC_x86) syscalls.c program.c -o program.x86.exe $(OPTIONS)
makeでコンパイル:
make -f Makefile.mingw
win32k.sys）のシステムコールはサポートされていません。syscalls.h内のtypedefがすでに定義されている場合、プロジェクトがコンパイルできないことがあります。
--preset allはほとんど必要ありません）。syscalls.hから削除できます。--verboseを使用すると、コード生成中にトラブルシューティング出力を有効にできます。--debugを使用すると、ツールはシステムコールスタブにソフトウェアブレークポイントを挿入し、WinDbgでのデバッグを容易にします。error A2084:constant value too largeが表示される場合は、スタブを再生成してください。@Jackson_Tと@modexpblogによって開発されましたが、他の多くの方々の成果に基づいています：
本プロジェクトもオリジナルと同様、Apache License 2.0の下でライセンスされています。