al-khaser

Al-Khaser v0.81

목차

• 소개
• 가능한 용도
• 기능
• 안티-디버깅 공격
• 안티-덤핑
• 타이밍 공격
• 사용자 상호작용
• 안티-VM
• 안티-디스어셈블리
• 요구 사항
• 라이선스

소개

al-khaser는 좋은 의도로 만들어진 PoC "악성코드" 애플리케이션으로, 안티-악성코드 시스템을 테스트하기 위한 것입니다. 이는 일반적인 악성코드 트릭들을 수행하여 탐지되지 않는지 확인하는 것을 목표로 합니다.

사용법

$ ./al-khaser.exe -h
Usage: al-khaser.exe [OPTIONS]
Options:
  --check <type>      Enable specific check(s). Can be used multiple times. Valid types are:
                        TLS              (Thread Local Storage callback checks)
                        DEBUG            (Anti-debugging checks)
                        INJECTION        (Code injection checks)
                        GEN_SANDBOX      (Generic sandbox checks)
                        VBOX             (VirtualBox detection)
                        VMWARE           (VMware detection)
                        VPC              (Virtual PC detection)
                        QEMU             (QEMU detection)
                        KVM              (KVM detection)
                        XEN              (Xen detection)
                        WINE             (Wine detection)
                        PARALLELS        (Parallels detection)
                        HYPERV           (Hyper-V detection)
                        CODE_INJECTIONS  (Additional code injection techniques)
                        TIMING_ATTACKS   (Timing/sleep-based sandbox evasion)
                        DUMPING_CHECK    (Dumping memory/process checks)
                        ANALYSIS_TOOLS   (Analysis tools detection)
                        ANTI_DISASSM     (Anti-disassembly checks)
  --sleep <seconds>   Set sleep/delay duration in seconds (default: 600).
  --delay <seconds>   Alias for --sleep.
  -h, --help          Show this help message and exit.

Examples:
  al-khaser.exe --check DEBUG --check TIMING_ATTACKS --sleep 30
  al-khaser.exe --check VMWARE --check QEMU
  al-khaser.exe --sleep 30

다운로드

빌드된 바이너리(x86, x64)는 이 프로젝트의 릴리즈 페이지에서 다운로드할 수 있습니다. 7z 파일의 비밀번호는 여기에서 확인할 수 있습니다.

가능한 용도

• 안티-디버그 플러그인을 만들고 있으며 그 효과를 확인하고 싶을 때.
• 샌드박스 솔루션이 충분히 숨겨져 있는지 확인하고 싶을 때.
• 또는 악성코드 분석 환경이 잘 숨겨져 있는지 확인하고 싶을 때.

만약 악성코드에서 본 적이 있는 안티-분석 트릭을 발견하셨다면, 주저하지 말고 기여해 주시기 바랍니다.

기능

안티-디버깅 공격

• IsDebuggerPresent
• CheckRemoteDebuggerPresent
• Process Environment Block (BeingDebugged)
• Process Environment Block (NtGlobalFlag)
• ProcessHeap (Flags)
• ProcessHeap (ForceFlags)
• Low Fragmentation Heap (LFH)
• NtQueryInformationProcess (ProcessDebugPort)
• NtQueryInformationProcess (ProcessDebugFlags)
• NtQueryInformationProcess (ProcessDebugObject)
• WudfIsAnyDebuggerPresent
• WudfIsKernelDebuggerPresent
• WudfIsUserDebuggerPresent
• NtSetInformationThread (HideThreadFromDebugger)
• NtQueryObject (ObjectTypeInformation)
• NtQueryObject (ObjectAllTypesInformation)
• CloseHanlde (NtClose) Invalide Handle
• SetHandleInformation (Protected Handle)
• UnhandledExceptionFilter
• OutputDebugString (GetLastError())
• Hardware Breakpoints (SEH / GetThreadContext)
• Software Breakpoints (INT3 / 0xCC)
• Memory Breakpoints (PAGE_GUARD)
• Interrupt 0x2d
• Interrupt 1
• Trap Flag
• Parent Process (Explorer.exe)
• SeDebugPrivilege (Csrss.exe)
• NtYieldExecution / SwitchToThread
• TLS callbacks
• Process jobs
• Memory write watching
• Page exception breakpoint detection
• API hook detection (module bounds based)

안티-인젝션

• Enumerate modules with EnumProcessModulesEx (32-bit, 64-bit, and all options)
• Enumerate modules with ToolHelp32
• Enumerate the process LDR structures with LdrEnumerateLoadedModules
• Enumerate the process LDR structures directly
• Walk memory with GetModuleInformation
• Walk memory for hidden modules

안티-덤핑

• Erase PE header from memory
• SizeOfImage

타이밍 공격 [안티-샌드박스]

• RDTSC (with CPUID to force a VM Exit)
• RDTSC (Locky version with GetProcessHeap & CloseHandle)
• Sleep -> SleepEx -> NtDelayExecution
• Sleep (in a loop a small delay)
• Sleep and check if time was accelerated (GetTickCount)
• SetTimer (Standard Windows Timers)
• timeSetEvent (Multimedia Timers)
• WaitForSingleObject -> WaitForSingleObjectEx -> NtWaitForSingleObject
• WaitForMultipleObjects -> WaitForMultipleObjectsEx -> NtWaitForMultipleObjects
• IcmpSendEcho (CCleaner Malware)
• CreateWaitableTimer
• CreateTimerQueueTimer
• Big crypto loops (todo)

사용자 상호작용 / 일반 [안티-샌드박스]

• 마우스 움직임
• sample.exe 또는 sandbox.exe 같은 파일 이름.
• 총 물리 메모리 크기 (GlobalMemoryStatusEx)
• DeviceIoControl (IOCTL_DISK_GET_LENGTH_INFO)을 이용한 디스크 크기
• GetDiskFreeSpaceEx (TotalNumberOfBytes)을 이용한 디스크 크기
• 마우스 (싱글 클릭 / 더블 클릭) (todo)
• DialogBox (todo)
• 스크롤 (todo)
• 재부팅 후 실행 (todo)
• 프로세서 개수 (Win32/Tinba - Win32/Dyre)
• 알려진 샌드박스 제품 ID (todo)
• 배경 픽셀 색상 (todo)
• 키보드 레이아웃 (Win32/Banload) (todo)
• 정품 Windows 설치 여부
• 알려진 샌드박스 호스트명 및 사용자 이름