Dirty Vanity

EDR을 우회하기 위해 Windows fork API를 남용하는 새로운 인젝션 기법의 POC입니다.

사용 방법

DirtyVanity.exe [TARGET_PID_TO_REFLECT]

실행 단계

• [TARGET_PID_TO_REFLECT]에 셸코드를 할당하고 작성합니다.
• [TARGET_PID_TO_REFLECT]를 새 프로세스로 Fork합니다.
• Fork된 프로세스의 시작 주소를 클론된 셸코드로 설정합니다.

셸코드

리플렉트된 셸코드는 ntdll API와 함께 동작합니다. 포함된 생성 프로젝트인 shellcode_template에서 생성되며, https://github.com/rainerzufalldererste/windows_x64_shellcode_template 의 제공입니다.

셸코드 커스터마이징

셸코드를 쉽게 커스터마이즈하려면:

• shellcode_template 프로젝트 안의 shellcode_template 함수를 https://github.com/rainerzufalldererste/windows_x64_shellcode_template 의 지침에 따라 편집합니다.
• 컴파일합니다.
• 선호하는 PE 파싱 도구(예: IDA)를 사용하여 shellcode_template 함수 바이트를 잘라냅니다.
• 이 바이트는 위치 독립적 셸코드입니다. DirtyVanity.cpp에 배치합니다.
• DirtyVanity를 실행하여 셸코드가 리플렉트되는 것을 확인합니다.