NovaLdr ⚜️
NovaLdr는 Rust로 작성된 Threadless Module Stomping으로, 악성코드 개발의 세계를 탐험하는 학습 프로젝트로 설계되었습니다. 간접 시스템 호출 및 문자열 암호화와 같은 고급 기술을 사용하여 기능을 구현합니다. 이 프로젝트는 완전하거나 완성된 제품이 아니라 악성코드의 기술적 측면을 탐구하고 다양한 기술과 기능을 선보이는 여정입니다.
기능 개요 💡
- Indirect Sycalls
- 문자열 암호화
- 셸코드 암호화: 단순 XOR 및 셸코드 바이트를 MAC 주소로 변환
- Threadless 실행
- Threadless 인젝트: 지정된 DLL 내 특정 함수에 트램펄린을 작성하고 다른 DLL을 로드하도록 리디렉션합니다.
- JMPThreadHijack: SetThreadContext를 호출하지 않고 스레드를 하이재킹합니다. 게으름뱅이라 스레드의 원래 기능을 유지할 수 있을 정도로 완전히 구현하지 못해 개선이 필요합니다. 빠르고 간단한 PoC입니다. (페이로드 실행 제어에 주의하세요. 브라우저는 페이로드를 여러 번 실행하는 경향이 있습니다.)
- 모듈 언링크
- DOS 헤더 매직 바이트를 덮어씁니다.
- 대상 프로세스에서 DLL 기본 주소를 지웁니다.
- 대상 프로세스에서 DLL 이름 문자열을 제거합니다.
- 모듈 목록에서 모듈을 언링크합니다.
- 프로세스 생성: NtCreateUserProcess로 일시 중단된 프로세스를 생성하고 PPID를 스푸핑하며 프로세스를 Block DLL로 설정합니다.
- Ntdll 언후킹: Parun의 Fart 기법을 사용한 원격 및 로컬 Ntdll 언후킹
- GetModuleHandleA 및 GetProcAddress 없음: NT 함수를 사용하는 사용자 정의 함수
- Sleep 암호화: 별도 스레드를 사용하여 수면 시간 동안 스택을 암호화하는 사용자 정의 수면 함수
- HWBP: 모든 스레드에 HWBP를 사용한 프로세스 내 패치리스 AMSI + ETW 우회
사용법 🛠️
- 셸코드 파일 생성:
msfvenom -p windows/x64/messagebox TITLE=NovaLdr TEXT='In memory of all those murdered in the Nova party massacre 7.10.2023' ICON=WARNING EXITFUNC=thread -b '\xff\x00\x0b' -f raw -e none -o Nova_MSG.bin
- 셸코드 파일을 암호화하고 MAC 주소 형식으로 변환:
python bin2mac.py Nova_MSG.bin > nova_msg.txt
- 출력 파일의 내용을 복사하여 main.rs 파일에 붙여넣기
- 프로그램을 컴파일하려면
compile.bat 파일을 실행하세요.
면책 조항 📢
NovaLdr는 교육 및 연구 목적으로만 제작되었습니다. 저자는 이 프로그램의 오용이나 손해에 대해 책임을 지지 않습니다. 항상 대상에 대해 테스트하기 전에 허가를 받으십시오.
기여 📈
이 프로젝트는 학습 여정이므로 NovaLdr를 Rust 악성코드 개발 학습을 위한 귀중한 자료로 만들기 위해 기여, 제안 및 개선을 환영합니다.
자료 및 크레딧 📍
POC
PE-SIEVE
