xeca

xecaは、攻撃目的のために暗号化されたPowerShellペイロードを作成するプロジェクトです。

DLLファイルから位置独立のシェルコードを作成することも可能です。

注意: カスタムAMSIバイパスは src/assets/amsi-bypass.ps1 に配置してください。

目次

• xeca
  • インストール
  • 仕組み
  • 軽減策
  • 使用例
    • Covenant
    • Empire
    • Merlin
    • Sliver
  • 謝辞
  • ライセンス

インストール

まず、Rustがインストールされていることを確認し、以下のコマンドでプロジェクトをビルドしてください。

cargo build

仕組み

1. ペイロードを特定し、暗号化します。暗号化したペイロードをPowerShellスクリプトに読み込み、「launch.txt」というファイルに保存します。
2. ペイロードを復号するための鍵は、「safe.txt」というファイルに保存されます。
3. リモートホスト上で「launch.txt」を実行します
   • スクリプトは攻撃者が定義したWebサーバーにコールバックし、復号鍵「safe.txt」を取得します。
   • メモリ上のペイロードを復号します。
   • 意図したペイロードをメモリ上で実行します。

軽減策

ユーザーがpowershell.exeなどのプログラムにアクセスする必要がある場合は、Just Enough AdministrationとPowerShell Loggingを使用してセキュリティリスクを最小限に抑えることを検討してください。アプリケーション制御ポリシーは、AppLockerなどのホワイトリスト技術を介して展開できます。

使用例

Covenant

Covenant .NETアセンブリdonutペイロード。

Empire

Empire PowerShellペイロード。

Merlin

Merlin DLLペイロード。

Sliver

Sliver シェルコードペイロード。

謝辞

このツールは、知識と情報の共有なしには実現できませんでした。以下の著者からのアイデア、スニペット、コードに感謝します。
@monoxgas
@H0neyBadger
@TheWover
@stephenfewer
@dismantl
@tandasat
@cobbr

ライセンス

xecaはGPLv3の下でライセンスされています。一部のサブコンポーネントは個別のライセンスを持つ場合があります。詳細については、このプロジェクト内のそれぞれの参照を参照してください。