摧日：CuiRi レッドチーム専用アンチウイルス回避型トロイの木馬生成ツール

0x01 概要：

   ____   __    __    _____      ______      _____  
  / ___)  ) )  ( (   (_   _)    (   __ \    (_   _) 
 / /     ( (    ) )    | |       ) (__) )     | |   
( (       ) )  ( (     | |      (    __/      | |   
( (      ( (    ) )    | |       ) \ \  _     | |   
 \ \___   ) \__/ (    _| |__    ( ( \ \_))   _| |__ 
  \____)  \______/   /_____(     )_) \__/   /_____( 

摧日：shellcode を基にすべてのアンチウイルスを回避するトロイの木馬を生成する、レッドチーム専用のアンチウイルス回避型トロイの木馬生成ツール

CuiRi はレッドチーム専用のアンチウイルス回避型トロイの木馬生成ツールです。このツールは、レッドチームのメンバーが提供する shellcode の断片から、すべてのアンチウイルスを回避する実行可能なトロイの木馬を迅速に生成できます。

特徴

1.Syscall を基にアンチウイルスを回避し、かつランダムに難読化するため、ほぼすべてのアンチウイルスを通過可能
2.内蔵の go-strip により、Go で生成されたトロイの木馬のコンパイル情報を消去し、プログラム情報を難読化
3.ツール本体は exe ファイル 1 つだけで、Go 環境と組み合わせればそのまま使用可能

go-strip の作者 @boy-hack に感謝します

0x02 使用方法：

release からバイナリファイルをダウンロードし、システムに Go 言語環境をインストールしたうえで、shellcode を 1 つの txt ファイルに保存すれば、本ツールでアンチウイルス回避型トロイの木馬を生成できます。

   ____   __    __    _____      ______      _____
  / ___)  ) )  ( (   (_   _)    (   __ \    (_   _)
 / /     ( (    ) )    | |       ) (__) )     | |
( (       ) )  ( (     | |      (    __/      | |
( (      ( (    ) )    | |       ) \ \  _     | |
 \ \___   ) \__/ (    _| |__    ( ( \ \_))   _| |__
  \____)  \______/   /_____(     )_) \__/   /_____(

摧日：shellcode を基にすべてのアンチウイルスを回避するトロイの木馬を生成する、レッドチーム専用のアンチウイルス回避型トロイの木馬生成ツール

警告：
1.本ツールは企業内部のテストにのみ使用してください。いかなる違法・犯罪活動にも使用しないでください。さもなければ、一切の結果は自己責任となります
2.本ツールには Go 言語環境が必要であり、使用時にはアンチウイルスを無効にする必要があります
https://github.com/NyDubh3/CuiRi   Author:Dubh3

[INFO] 現在のバージョン: 1.0
CuiRi.exe の使い方:
  -f string
        shellcode を介してアンチウイルス回避ペイロードを生成する
  -manual
        shellcode の生成方法を表示する

CuiRi がサポートする shellcode 形式は、以下の 2 種類に分かれます：

1.C 言語文字列形式の shellcode：

"\xfc\x48\x83\xe4\xf0\xe8\xcc\x00\x00\x00\x41\x51\x41\x50\x52"
"\x48\x31\xd2\x51\x65\x48\x8b\x52\x60\x56\x48\x8b\x52\x18\x48"
"\x8b\x52\x20\x48\x8b\x72\x50\x48\x0f\xb7\x4a\x4a\x4d\x31\xc9"
"\x48\x31\xc0\xac\x3c\x61\x7c\x02\x2c\x20\x41\xc1\xc9\x0d\x41"
"\x01\xc1\xe2\xed\x52\x41\x51\x48\x8b\x52\x20\x8b\x42\x3c\x48"

2.純粋な 16 進数値形式の shellcode：

注意：Cobalt Strike で生成された bin ファイルの場合は、bin 内の 16 進数を別途コピーして txt ファイルに保存してください。

fce8 8900 0000 6089 e531 d264 8b52 308b
520c 8b52 148b 7228 0fb7 4a26 31ff 31c0
ac3c 617c 022c 20c1 cf0d 01c7 e2f0 5257
8b52 108b 423c 01d0 8b40 7885 c074 4a01
d050 8b48 188b 5820 01d3 e33c 498b 348b
01d6 31ff 31c0 acc1 cf0d 01c7 38e0 75f4
037d f83b 7d24 75e2 588b 5824 01d3 668b