InvisibilityCloak

C# 사후 침투 도구를 위한 개념 증명 난독화 툴킷입니다. 이 툴킷은 C# 비주얼 스튜디오 프로젝트에 대해 아래 작업을 수행합니다.

• 도구 이름 변경
• 프로젝트 GUID 변경
• 사용자가 입력한 난독화 방식에 따라 소스 코드 파일의 호환 가능한 문자열 난독화
• 한 줄 주석 제거 (예: // this is a comment)
• 컴파일된 릴리스 .NET 어셈블리의 PDB 문자열 옵션 제거

블로그 게시물: https://securityintelligence.com/posts/invisibility-cloak-obfuscate-c-tools-evade-signature-based-detection

난독화되지 않는 문자열 후보

아래 문자열 후보는 난독화에 포함되지 않습니다.

• 3자 미만 문자열
• 문자열 보간을 사용하는 문자열 (예: Console.WriteLine($"Hello, {name}! Today is {date.DayOfWeek}, it's {date:HH:mm} now.");)
• 정적 값이어야 하는 case 문
• 정적 값이어야 하는 const 변수
• 정적 값이어야 하는 메서드 시그니처의 문자열
• switch 문에서 사용되며 정적 값이어야 하는 " => "가 포함된 줄
• 비교 시 비교 값이 정적이어야 하므로 if 문 내의 is
• 정규식 내의 문자열
• 정적 값이어야 하는 override 문자열
• 인코딩/디코딩 시 문제를 일으킨 아래 임의의 문자열 예외 사례들
  • '로 시작하거나 끝나는 문자열
  • 줄에 ""'가 있는 경우
  • 줄에 + @"가 있는 경우
  • 줄에 """가 있는 경우
  • 줄에 ""가 있는 경우
  • 줄에 Encoding.Unicode.GetString이 있는 경우
  • 줄에 Encoding.Unicode.GetBytes가 있는 경우
  • 줄에 Encoding.ASCII.GetBytes가 있는 경우
  • "로 시작하고 ")]로 끝나는 줄. 일반적으로 명령줄 스위치에 사용되며 정적 값이어야 합니다.

지원 정보

• 윈도우
• 리눅스 (데비안 기반 시스템)
• 파이썬3

인수/옵션

• -d, --directory - 비주얼 스튜디오 프로젝트가 있는 디렉터리
• -m, --method - 난독화 방식 (base64, rot13, reverse)
• -n, --name - 새 도구 이름
• -h, --help - 도움말 메뉴
• --version - 도구 버전 확인

사용법/예제

문자열 난독화와 함께 InvisibilityCloak 실행

Base64 문자열 난독화

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m base64

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m base64

ROT13 문자열 난독화

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m rot13

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m rot13

역순 문자열 난독화

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m reverse

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m reverse

문자열 난독화 없이 InvisibilityCloak 실행

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool"

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool"

시그니처 기반 탐지 통계

아래 표는 InvisibilityCloak를 사용한 20개의 인기 공개 C# 도구의 난독화 전후 버전 간 시그니처 기반 탐지 통계를 보여줍니다.

이는 특히 Microsoft Defender(무료 버전)에 대한 것이며, 2022년 4월 14일 기준으로 정확합니다.

컴파일된 C# 도구 크기 통계

아래 표는 InvisibilityCloak를 사용하여 다양한 문자열 난독화 방식을 적용한 20개의 인기 공개 C# 도구의 난독화 전후 버전 간 파일 크기를 보여줍니다.

로드맵

• 다중 C# 프로젝트 파일(멀티 프로젝트 솔루션)을 포함한 C# 프로젝트 지원 추가
• 변수 이름 및 메서드 이름에 대한 난독화 지원