Project Ares

Project Ares Injector

Project Ares Injector는 Transacted Hollowing 기술을 기반으로 C/C++로 작성된 개념 증명(PoC) 로더입니다. 이 로더는 원격 프로세스에 PE를 주입하며 다음과 같은 기능을 제공합니다:

• PPID 스푸핑
• 비 Microsoft 서명 바이너리를 차단하는 CIG
• LoadLibrary() 또는 GetProcAddress() API 없이 동적 함수 해결
• API 해싱
• 디스크의 깨끗한 버전으로 .text 섹션을 새로고침하여 NTDLL 언후킹
• WIN32 API 사용 최소화
• 기본 샌드박스 탐지
• PE 리소스에서 로드된 AES256 CBC 암호화 페이로드

로더는 현재 64비트 전용이며 64비트 페이로드만 지원합니다.

Project Ares Cryptor

Cryptor는 페이로드를 Injector에 PE 리소스로 추가하기 전에 암호화하기 위한 기본 콘솔 애플리케이션입니다. 디스크의 페이로드에 대한 단일 <filepath> 인수를 받아 암호화한 후 payload.bin으로 디스크에 씁니다.

사용법

1. Injector/main.cpp 329행의 암호화 키를 16바이트 값으로 변경합니다.
2. Cryptor/main.cpp 34행의 암호화 키를 Injector의 암호화 키와 일치하도록 변경합니다.

선택적으로 초기화 벡터를 수정할 수 있으며, 마찬가지로 16바이트여야 합니다:

const uint8_t iv[] = { 0x00, 0x01, 0x02, 0x03, 0x04, 0x05, 0x06, 0x07, 0x08, 0x09, 0x0a, 0x0b, 0x0c, 0x0d, 0x0e, 0x0f };

3. Cryptor.exe를 사용하여 원하는 x64 페이로드를 암호화합니다.
4. payload.bin을 Injector에 리소스로 추가합니다. 이름을 payload_bin으로 지정하거나 Injector/main.cpp 324행을 수정하여 주어진 이름과 일치시킵니다:

HRSRC rc = FindResource(NULL, MAKEINTRESOURCE(IDR_PAYLOAD_BIN1), L"PAYLOAD_BIN");

5. 성공

참고:

기본 생성 프로세스는 svchost.exe입니다. 기본으로 스푸핑된 부모 프로세스는 explorer.exe입니다.