Shhhloader

Shhhloader는 작업 중인 셸코드 로더입니다. 원시 셸코드를 입력으로 받아 AV/EDR을 우회하기 위해 다양한 작업을 수행하는 C++ 스텁을 컴파일합니다. 포함된 Python 빌더는 Mingw-w64가 설치된 모든 Linux 시스템에서 작동합니다.

1/25/24 업데이트: Shhhloader는 이제 PoolParty 변종 7을 지원합니다! 또한 실행된 셸코드가 백업되지 않은 메모리에 상주하지 않도록 PoolParty와 Module Stomping을 결합하는 옵션이 추가되었습니다. 아래에서 Defender ATP에 대한 이 새로운 인젝션 방법을 보여주는 동영상을 확인하세요:

동영상 보기

┳┻|
┻┳|
┳┻|
┻┳|
┳┻| _
┻┳| •.•)  - Shhhhh, AV might hear us! 
┳┻|⊂ﾉ   
┻┳|
usage: Shhhloader.py [-h] [-p explorer.exe] [-m QueueUserAPC] [-u] [-w] [-nr] [-ns] [-l] [-v] [-sc GetSyscallStub] [-d] [-dp apphelp.dll] [-s domain]
                     [-sa testlab.local] [-o a.exe] [-pp explorer.exe] [-ppv] [-np] [-cp] [-td ntdll.dll] [-ef NtClose]
                     file

ICYGUIDER'S CUSTOM SYSCALL SHELLCODE LOADER

positional arguments:
  file                  File containing raw shellcode

options:
  -h, --help            show this help message and exit
  -p explorer.exe, --process explorer.exe
                        Process to inject into (Default: explorer.exe)
  -m QueueUserAPC, --method QueueUserAPC
                        Method for shellcode execution (Options: PoolPartyModuleStomping, PoolParty, ThreadlessInject, ModuleStomping, QueueUserAPC,
                        ProcessHollow, EnumDisplayMonitors, RemoteThreadContext, RemoteThreadSuspended, CurrentThread) (Default: QueueUserAPC)
  -u, --unhook          Unhook NTDLL in current process
  -w, --word-encode     Save shellcode in stub as array of English words
  -nr, --no-randomize   Disable syscall name randomization
  -ns, --no-sandbox     Disable sandbox checks
  -l, --llvm-obfuscator
                        Use Obfuscator-LLVM to compile stub
  -v, --verbose         Enable debugging messages upon execution
  -sc GetSyscallStub, --syscall GetSyscallStub
                        Syscall execution method (Options: SysWhispers2, SysWhispers3, GetSyscallStub, None) (Default: GetSyscallStub)
  -d, --dll             Generate a DLL instead of EXE
  -dp apphelp.dll, --dll-proxy apphelp.dll
                        Create Proxy DLL using supplied legitimate DLL (File must exist in current dir)
  -s domain, --sandbox domain
                        Sandbox evasion technique (Options: sleep, domain, hostname, username, dll) (Default: sleep)
  -sa testlab.local, --sandbox-arg testlab.local
                        Argument for sandbox evasion technique (Ex: WIN10CO-DESKTOP, testlab.local)
  -o a.exe, --outfile a.exe
                        Name of compiled file

PPID Spoofing:
  -pp explorer.exe, --ppid explorer.exe
                        Parent process to use for PPID Spoofing (Default: explorer.exe)
  -ppv, --ppid-priv     Enable spoofing for privileged parent process (Disabled by default)
  -np, --no-ppid-spoof  Disable PPID spoofing

ThreadlessInject:
  -cp, --create-process
                        Create process instead of injecting into existing one
  -td ntdll.dll, --target-dll ntdll.dll
                        Target DLL containing export function to overwrite
  -ef NtClose, --export-function NtClose
                        Export function to overwrite

기능:

10가지 다양한 셸코드 실행 방법 (PoolParty, PoolPartyModuleStomping, ThreadlessInject, ModuleStomping, QueueUserAPC, ProcessHollow, EnumDisplayMonitors, RemoteThreadContext, RemoteThreadSuspended, CurrentThread)
PPID Spoofing
타사 DLL 차단
KnownDLLs를 통한 NTDLL 언후킹
SysWhispers2, SysWhispers3, & GetSyscallStub
SW2 및 SW3용 API 해싱
컴파일 타임 문자열 암호화
Obfuscator-LLVM (OLLVM) 지원
자동 DLL 프록시 생성
Havoc C2 프레임워크 통합
시스템 콜 이름 무작위화
셸코드를 영어 단어 배열로 저장
동적 키 생성 XOR 인코딩
로드된 DLL, 도메인, 사용자, 호스트 이름 및 시스템 열거를 통한 샌드박스 우회

아래에서 ThreadlessInject 방법을 사용하여 Havoc 비콘을 IE에 주입하면서 Microsoft Defender for Endpoint (MDE) EDR에서 경고 없이 최소한의 이벤트만 발생시키는 PoC 동영상을 확인하세요 (2023년 4월 3일 녹화):

동영상 보기

아래 동영상은 DLL 프록시를 통해 실행된 Module Stomping 인젝션 기술을 보여줍니다 (2022년 8월 9일 녹화):

동영상 보기

Shhhloader는 또한 @jakobfriedl의 모듈을 통해 Havoc C2 Framework에 통합되었습니다. 아래에서 모듈을 보여주는 동영상을 확인하세요:

동영상 보기

알려진 문제/참고사항:

PoolParty 인젝션 방법은 현재 기존 프로세스에 주입하도록 구성되어 있습니다. 따라서 -p 플래그를 사용하여 대상 시스템에서 이미 실행 중이라고 알거나 의심되는 프로세스의 이름을 제공해야 합니다.
PoolParty 인젝션 방법은 sliver(~11MB)와 같은 큰 셸코드 파일에서는 작동하지 않습니다.
ThreadlessInject 셸코드 실행 방법은 현재 일시 중단되지 않은 프로세스에 주입해야 합니다. 이는 "-cp" 옵션이 제공되면 자동으로 수행됩니다. 조만간 일시 중단된 프로세스에서도 작동하도록 하는 방법을 찾을 수 있기를 바랍니다.
Havoc C2 모듈은 현재 원시 셸코드 파일 대신 리스너를 지정하면 멈춥니다. 이 문제는 조만간 수정될 예정입니다.
Windows Defender는 이 도구로 생성된 대부분의 파일을 탐지하므로 "DETECTED!!!"라는 이슈를 게시하지 마세요. 새로운 옵션과 기능을 가지고 작동하는 방법을 찾을 때까지 실험해 보세요. 그 이유가 있습니다:). 생성된 파일을 메모리에서 실행하는 것도 이러한 탐지를 우회하는 좋은 방법입니다.
Obfuscator-LLVM (OLLVM)은 clang이 인라인 어셈블리를 처리하는 방식 때문에 SW2 및 SW3와 호환되지 않습니다. 현재 이들을 호환되게 만들 계획은 없습니다. 사용자가 이러한 기능을 함께 사용하지 못하도록 검사가 추가되었습니다.
내 코드에는 많은 버그가 있습니다. 중요한 용도로 사용하기 전에 모든 것을 미리 테스트하고, 이슈를 열 때는 가능한 한 많은 정보를 제공해 주세요. (감사합니다!)

계획된 업데이트:

하드웨어 중단점 (HWBP) 시스템 콜 옵션
표준 WinAPI 함수 대신 시스템 콜을 사용하여 프로세스 생성
ThreadlessInject를 다른 셸코드 인젝션 기술과 통합 (예: ModuleStomping)
코드를 더 모듈화되고 읽기 쉽도록 리팩토링
Havoc C2 모듈의 버그 수정
더 나은 프로그래밍 학습을 통해 수많은 버그 수정 ;)

선택 사항: Obfuscator-LLVM 플래그를 사용하려면 시스템에 wclang과 함께 설치되어 있어야 합니다. 이 과정이 다소 번거롭지만 약간의 인내심을 가지고 수행할 수 있어야 합니다. 제 Kali Linux 시스템에 OLLVM의 llvm-13.x 브랜치를 설치하는 데 사용한 단계별 가이드는 다음과 같습니다:

세부 정보 보기

# Clone and Run CMake
git clone -b llvm-13.x https://github.com/heroims/obfuscator.git
mkdir build
cd build
cmake -DCMAKE_BUILD_TYPE=Release -DLLVM_ENABLE_NEW_PASS_MANAGER=OFF ../obfuscator/llvm/

# Configure CMake and Compile OLLVM
export clang_build_dir=$(cd ../; pwd)/obfuscator/clang
sed -i 's/LLVM_TOOL_CLANG_BUILD:BOOL=OFF/LLVM_TOOL_CLANG_BUILD:BOOL=ON/g' CMakeCache.txt
sed -i "s|LLVM_EXTERNAL_CLANG_SOURCE_DIR:PATH=|LLVM_EXTERNAL_CLANG_SOURCE_DIR:PATH=$clang_build_dir|g" CMakeCache.txt
make -j7

# ONCE COMPILED, BACKUP ORIGINAL CLANG BINARIES
mv /usr/bin/clang /usr/bin/clang13.0.1
mv /usr/bin/clang++ /usr/bin/clang++13.0.1

# Then in OLLVM build/bin dir, copy the newly build clang bins
cp bin/clang /usr/bin/clang
cp bin/clang++ /usr/bin/clang++

# Then install wclang
cd ..
git clone https://github.com/tpoechtrager/wclang.git
cd wclang/
cmake -DCMAKE_INSTALL_PREFIX=_prefix_ .
make
make install
export wclang_path=$(pwd)/_prefix_/bin
echo "export PATH=$wclang_path:$PATH" >> ~/.bashrc
export PATH=$wclang_path:$PATH

# Then backup original lib files
cp -R /lib/llvm-13/lib/clang/13.0.1/include/ /lib/llvm-13/lib/clang/13.0.1/include_backup/

# Finally in the OLLVM build/bin/lib/clang/13.0.1/ dir, copy the include folder
cd ../build/lib/clang/13.0.1/
cp -R include/ /lib/llvm-13/lib/clang/13.0.1/

아마 더 좋은 방법이 있겠지만, 제 경우에는 이 방법이 작동했습니다. 문제가 있으면 계속 시도해 보고 x86_64-w64-mingw32-clang++ -v를 실행했을 때 출력에 "Obfuscator-LLVM" 또는 "heroims"가 포함되어 있는지 확인하세요. 안타깝게도 더 도움이 필요한 개인을 지원할 시간은 없지만, 제 Nimcrypt2 저장소의 이 이슈를 참고하세요. 몇몇 사용자가 자신의 시스템에서 이를 해결한 방법을 공유했습니다.

감사 및 크레딧:

놀라운 프로젝트 SysWhispers를 만든 @Jackson_T: https://github.com/jthuraisamy/SysWhispers
SysWhispers2를 지원하는 시스템 콜 생성 도구를 만든 @FalconForceTeam: https://github.com/FalconForceTeam/SysWhispers2BOF
제가 포함된 많은 인젝션 기술의 템플릿으로 사용한 DInjector 프로젝트를 만든 @snovvcrash: https://github.com/snovvcrash/DInjector
PPID Spoofing, 타사 DLL 차단 및 샌드박스 우회에 사용한 Ares 프로젝트를 만든 @Cerbersec: https://github.com/Cerbersec/Ares
런타임에 디스크에서 ntdll 시스템 콜 스텁을 검색하는 방법에 대한 블로그 게시물을 작성한 @spotheplanet: https://www.ired.team/offensive-security/defense-evasion/retrieving-ntdll-syscall-stubs-at-run-time
Module Stomping에 대한 코드와 기사를 제공하고 C++로 포팅한 @_RastaMouse: https://offensivedefence.co.uk/posts/module-stomping/
NanoDump 프로젝트와 특히 randomize_sw2_seed.py 스크립트를 만든 @s4ntiago_p: https://github.com/helpsystems/nanodump
이 도구가 컴파일 타임 문자열 암호화에 활용하는 skCrypter 프로젝트를 만든 @skadro-official: https://github.com/skadro-official/skCrypter
ThreadlessInject 프로젝트를 만든 @EthicalChaos: https://github.com/CCob/ThreadlessInject
ThreadlessInject의 BOF 버전을 만든 0xLegacyy: https://github.com/iilegacyyii/ThreadlessInject-BOF

Shhhloader

인기

Shhhloader