DarkWidow

Windows を標的としたカスタマイズ可能なドロッパーツール。

栄誉ある言及:

これらのカンファレンスに応募するよう励ましてくれたSoumyadeep Da（@SoumyadeepBas12）に多大なる感謝を。応募しなければ実現しなかったでしょう。
このツールのプレゼンテーション用のスライドとPPT作成を手伝ってくれたFaran（@Chrollo_l33t）に多大なる感謝を。

機能:

間接動的システムコール。(MITRE ATT&CK TTP: T1106)
修正TartarusGateアプローチによるSSN + システムコールアドレスのソート
APC Early Birdによるリモートプロセスインジェクションで、EDRによるテレメトリキャッチを遮断。(MITRE ATT&CK TTP: T1055.004)
犠牲プロセスをターゲットプロセスとして生成し、環境内の既存のプロセスを妨害しない。
生成された犠牲プロセスに対するACG（任意コードガード）/BlockDll緩和ポリシー。
PPIDスプーフィング (MITRE ATT&CK TTP: T1134.004)
TIBからのAPIおよびDLL解決（オフセット経由（TIBから）-> TEB -> PEB -> Nt API解決）(MITRE ATT&CK TTP: T1106)
Cursed Nt APIハッシュ化 (MITRE ATT&CK ID: S0574)

特典: 管理者権限がある場合 =>

イベントログサービススレッドを_killing_することでイベントログを無効化 (MITRE ATT&CK TTP: T1562.002)

欠点: スレッドが再開されると、イベントロガーの一時停止中に発生したすべてのイベントが再度ログに記録されます。

そこで、代わりにそれらを殺すことを考えました！

「中断よりも侵襲的ですが、判断は常にオペレーター次第です。それに、スレッドの殺害はカーネルレベルでログに記録されます」 - @SEKTOR7net

間接システムコールインプラントでそれらのスレッドのみを殺そうとした際、エラーに直面しました。"eventlog"の SubProcessTag Value を取得できませんでした。そのため、すべてのスレッドを殺す、つまりプロセス全体（担当の svchost.exe）を殺すことを考えました。そうです、IOCを生成することになります。

=

1. EDR/Ring-3/ユーザーランドフックバイパス

2. システムコールとreturn文はntdll.dllのメモリから実行される

3. コールスタックのリターンアドレスをチェックするEDR検出をバイパス可能。

コンパイル:

Directly via VS compiler:

また、/MTコンパイラフラグを追加してください！ => CRT関数をバイナリに静的にリンクします（はい、お察しの通り、インプラントを肥大化させます）

compile.bat経由でも可能（オプション1を推奨）

./compile.bat

使用方法:

PS C:> .\x64\Release\indirect.exe
[!] Wrong!
[->] Syntax: .\x64\Release\indirect.exe <PPID to spoof>

動作例:

https://github.com/reveng007/DarkWidow/assets/61424547/62a90c5b-84af-4389-8ddc-9f7926debdcf

Sofos XDRエンドポイントでアラートを発生させずに実行成功:

SofosXDREvade

今後の改善点:

PPIDスプーフィング (Emotet方式)
よりステルス性の高い イベントログ無効化のユースケース！

参考にしたコードの一部と役立ったリンク:

TIB:
- https://en.wikipedia.org/wiki/Win32_Thread_Information_Block
- https://www.wikiwand.com/en/Win32_Thread_Information_Block
GSおよびFSレジスタ:
- https://stackoverflow.com/questions/39137043/what-is-the-gs-register-used-for-on-windows
- https://stackoverflow.com/questions/10810203/what-is-the-fs-gs-register-intended-for#:~:text=The%20registers%20FS%20and%20GS,to%20access%20thread%2Dspecific%20memory.
PEB LDR構造:
- BlackHat - What Malware Authors Don't Want You to Know - Evasive Hollow Process Injection by @monnappa22
- 上記リンクからのプロセスメモリの画像:
- labs.cognisys.group、@D1rkMtr のブログより:
TIB -> TEB -> PEB -> Nt APIの解決とAPIハッシュ化
- https://stackoverflow.com/questions/41277888/iterating-over-peb-dllname-shows-only-exe-name
- https://doxygen.reactos.org/d7/d55/ldrapi_8c_source.html#l01124
- labs.cognisys.group、@D1rkMtr のブログより
- 上記リンクからのスニペット画像（オフセットをハードコーディングせずにAPIを動的に解決するためにここで使用）:
- 適用したAPIハッシュ化コード:


#include <stdint.h>
#include <stdio.h>
#include <Windows.h>

DWORD64 djb2(const char* str)
{
	DWORD64 dwHash = 0x7734773477347734;
	int c;

	while (c = *str++)
		dwHash = ((dwHash << 0x5) + dwHash) + c;


	return dwHash;
}

int main(int argc, char** argv)
{
	if (argc < 2)
	{
		printf("[!] Wrong!\n");
		printf("[->] Syntax: .\\%s <NTFuncName>\n\n", argv[0]);
		return 1;
	}

	const char* string = argv[1];

	DWORD64 hashvalue = djb2(string);

	printf("Hash Value: 0x%llX\n", hashvalue);

	return 0;
}

ACG（任意コードガード）/BlockDll緩和ポリシー:
- リンク:
- Protecting Your Malware by @xpn
- Wraith by @winterknife
- spawn and HOLLOW by @0xBoku
PPIDスプーフィング検出:
- PPID Spoofing Detect by @spotheplanet
- 時間があれば、この部分に検出部分を追加します！ -> [残り..............................................!]
Moneta検出とPESieve検出:\
- Moneta:
- PESieve:
Capaスキャン:
インプラントプロセスのスレッドスタックの見え方:

インプラントプロセス	正規のCmdプロセス

間接システムコールPOCでntdll.dllのメモリ内でreturn命令を実行することにより、リターンアドレスを正常にスプーフィングでき、ntdll.dllをコールスタックの最上部に配置し、EDRに高い正当性と解釈させることができます。 - @VirtualAllocEx の DirectSyscall Vs Indirect Syscall より
また、@peterwintrsmith に感謝！