s3cur3th1ssh1t/nimsyscallpacker
C#アセンブリ、PEファイル、またはシェルコードを暗号化されたNimバイナリにパックし、AMSI/ETWバイパス、サンドボックス検出、複数のインジェクション技術などの高度な回避機能を備えたレッドチーム運用向けツール。
このツールは、x33fcon での講演後に公開されました。2021年から2024年までの私の私的な主要コーディングプロジェクトであり、現在は非推奨とみなされ、もはやメンテナンスされていません。私の側からのバグ修正や機能更新は期待しないでください。代わりに、RustPack が、審査済みのレッドチームやペネトレーションテスター向けの商用かつ管理されたバージョンとして現在メンテナンスされており、さらに機能が豊富で、OPSec上もはるかに安全です。
このパッカーは、任意のC#アセンブリ、PEファイル、またはシェルコードをNimバイナリにパックするために使用できます。指定された引数に応じて対象のペイロードを暗号化し、対応するNimソースコードをビルドして、Nimバイナリにコンパイルします。
動画（動画の方がよければ）はこちら: https://youtu.be/0PwIn3Nxmgo
Nim/Nimble を正しく動作させるには、Git のインストールが必要です。
Nim 2.2.10 と、Nim Windows ダウンロードページからリンクされている MinGW-w64 GCC 11.1.0 バンドルでテスト済みです。新しい Nim リリースは Windows 上で高い PE イメージベースをデフォルトとするため、-static リンクが relocation truncated to fit: R_X86_64_32S against .bss で壊れます; パッカーは現在、静的ビルドを機能させるために -Wl,--image-base=0x10000 を強制するため、MinGW-w64 11.x ビルドならどれでも問題ありません。ここでは x64 のみがサポートされています — x86/--x86/--wow64 はメンテナンスされていません。
nim-2.2.10_x64.zipmingw64.7z (Nim Windows インストールページからリンクされています)Expand-Archive は使わないでください — lib\system\ ディレクトリとの大文字小文字の衝突により、lib\system.nim が黙って欠落します）。Nim の zip には bin\7zG.exe が同梱されており、これを使って MinGW を展開できます。<nim>\bin と <mingw64>\bin を %PATH% に追加します。変更を有効にするには、ログオフ/ログオン（またはシェルの再起動）を行います。動作確認済みのバージョン（Nim 2.2.10 時点）：nimcrypto 0.6.0、docopt 0.7.1、ptr_math 0.3.0、winim 3.9.4、nim-strenc（HEAD — このリポジトリにはタグ付きリリースはありません）。
If you want to use the LLVM obfuscator on Windows, use the embedded modified denim version from denim. Install it via denim\denim.exe setup.
E.g. on Kali / Debian. The packer historically required nim 1.6.8 + mingw-64 8.0.0-1; with the static-link --image-base=0x10000 workaround now baked in, newer toolchains should work too. The Windows build is what's actively tested — Linux is best-effort.```bash
apt-get install nim mingw-w64
nimble install [email protected] docopt ptr_math winim https://github.com/S3cur3Th1sSh1t/nim-strenc/
新しい mingw-w64 で `--hellsgate` のアセンブルに失敗する場合は、`mingw-64=8.0.0-1` にダウングレードしてください。
`pip3 install donut-shellcode` を使用して donut をインストールします。`denim` は Unix からは使用できないため、LLVM による難読化はここでは不可能です。Callobfuscator も同様です。
`nim c -d:noRES NimSyscallLoader.nim` でパッカーをコンパイルします。これで準備完了です。-d:noRES を使用しない場合、次のエラーが発生する可能性があります:```
/username/.nimble/pkgs/winim-3.7.1/winim/lib/winim64.res:(.rsrc+0x48): dangerous relocation: collect2: fatal error: ld terminated with signal 11 [Speicherzugriffsfehler]
compilation terminated.
初回のみビルドが必要です（初回は時間がかかりますが、以降のビルドはキャッシュされます）。
sudo docker build . -t nimsyscallloader
次に、以下のコマンドでパッカーを実行します：
sudo docker run -v $(pwd):/shared nimsyscallloader <ARGUMENTS> --output=/shared/packed.exe
ここで $(pwd) は、ホストシステム上でコンテナと共有されるディレクトリ、つまり暗号化するファイルを置くディレクトリであり、出力が保存されるディレクトリです。
LimeLighter を介してコード署名証明書を利用したい場合は、以下のものもインストールして %PATH% に含める必要があります： openssl -（Windows 用）例：ここ から osslsigncode - 例：ここ から
ここで使用されているサードパーティツールの問題についてはサポートを提供しません。問題が発生した場合は、対応するリポジトリで issue を開いてください。使用中のサードパーティツール：
上記のリンクから、私がビルド済みのバイナリを使用するか、もちろん自分でコンパイルするかのどちらかを選択できます。
動画の方がよろしければ、こちらでご覧いただけます： https://youtu.be/UHaIgdzqHDA
リクエストがあったため、いくつかの機能について短い動画も追加しました：
Caro-Kann:
ThreadlessInject Feature:
Module Stomping Feature:
shellcodeURL Feature:
stegoFile Feature:
shellcodeFile Feature:
Ruy Lopez for local processes
Shellcode output format
Assembly output feature
また、ThreadlessInject テクニックをデフォルト以外のプロセスにカスタマイズする方法を紹介する公開動画も作成しました：
https://youtu.be/BYuAUYQcI-E``` NimSyscall_Loader v 2.2
Usage: NimSyscall_Loader [--file=file_to_encrypt --key= --keyfile= --dnsKey --dnsdomain=<sub.example.com> --environmentalKey=<domain,username> --output= --large --metadata --shellcodeFile= --shellcodeURL= --dll --dllexportfunc= --dllhijack --noNimMain --clone= --dllProxy --cpl --xll --service --arguments=<Hardcoded_Arguments> --csharp --noAMSI --noETW --noOneShot --PatchAMSI --PatchETW --AMSIProviderPatch --AMSINtCreateSectionHook --sleep=<10> --sleep-in-between=<10> --shellcode --RWX --CallbackExecute --localCreateThread --QueueApc --noWait --COMVARETW --remoteinject --customprocess= --blockDLLs --spoofArgs= --parentProcess= --remoteprocess= --remotepatchAMSI --remotepatchETW --mapSection --unhook=<dllname1,dllname2> --reflective --obfuscate --macPayload --hide --APIhide --noArgs --peinject --peload --hellsgate --syswhispers --jump --sgn --replace --self-delete --sandbox=<check1,check2> --domain= --pump=<words,size> --obfuscatefunctions --debug --verbose --noDInvoke --x86 --wow64 --llvm --sign --signdomain= --noAntidebug --noDefaultSandBox --noAntiEmulate --sleepycrypt --fluctuate --interactivePS --psout --psobfs --pslyrics --csout --scout --sourceonly --jmpEntry --jmpEntryDLL=<example.dll> --jmpEntryFunc= --dripallocate --dripsleep= --stegofile= --ruy-lopez --threadless --threadlessDll=<dllname.dll> --threadlessFunc= --poolparty= --Caro-Kann --Caro-Kann-Thread --stomb --stombDll=<dllname.dll> --stombFunc= --stombFunc2= --restore] NimSyscall_Loader (-h | --help) NimSyscall_Loader --version
Options:
[general]