NebulaPulsar

업데이트: 이 프로젝트는 이제 Alien의 하위 프로젝트가 되었으며, 제 아이디어와 실험적 목적을 시연하는 데 사용됩니다.

NebulaPulsar는 Java(JSP) 및 ASP.NET(ASPX/ASHX/ASMX)을 위한 개념 증명형 인메모리 임플란트 프레임워크로, 원래 Alien 프로젝트의 일부로 개발되었습니다.

명령 실행에만 초점을 맞춘 기존 웹쉘 데모와 달리, NebulaPulsar는 인메모리 임플란트가 암호화된 통신 채널을 설정하고 페이로드를 동적으로 로드하여 메모리에서 완전히 실행할 수 있는 방법을 탐구합니다.

이 프로젝트는 보안 연구, 악성코드 분석 및 방어 교육을 위해 설계되었습니다. 운영상의 공격 프레임워크가 되는 것을 목표로 하지 않습니다.

기술 세부 사항:

• NebulaPulsar: JSP 및 ASP.NET용 개념 증명 인메모리 임플란트 프레임워크
• NebulaPulsar 2.0: CFM 웹쉘 및 새로운 기능

이 프로젝트가 도움이 되거나 유익하다고 생각하신다면, 저장소에 ⭐를 눌러주시면 정말 감사하겠습니다. 여러분의 지원은 제가 이 도구를 계속 개선하는 데 큰 동기가 됩니다.

면책 조항

"공격 연구를 부끄러워한다면, 그 기여를 잘못 평가하는 것입니다. 공격과 방어는 동등한 관계가 아닙니다. 방어는 공격의 자식입니다." — John Lambert

이 프로젝트는 오직 교육, 연구 및 방어적 사이버 보안 목적으로 만들어졌습니다.

그 목적은 Java 및 .NET 플랫폼에서 최신 인메모리 임플란트, 암호화된 통신, 동적 페이로드 실행의 구현을 연구하는 것입니다.

이 프로젝트는 무단 접근, 지속성 또는 악의적인 배포를 위한 것이 아닙니다. 명시적 허가 없이 시스템에 사용하는 것은 엄격히 금지됩니다.

저자는 이 프로젝트의 오용 또는 손해에 대해 어떠한 책임도 지지 않습니다.

동기

Alien 을 개발하면서 현대의 메모리 상주 웹쉘과 임플란트가 내부적으로 어떻게 설계되는지 더 잘 이해하고 싶었습니다.

공개된 많은 웹쉘은 기능에 초점을 맞추지만 왜 그런 방식으로 구현되었는지 설명하는 경우는 드뭅니다. 암호화된 통신, 인메모리 페이로드 실행, 동적 클래스 로딩, 세션 기반 임플란트와 같은 기능은 종종 블랙박스처럼 취급됩니다.

NebulaPulsar는 그 격차를 해소하기 위해 만들어졌습니다.

기존 구현을 단순히 복제하는 대신, 이 프로젝트는 현대 메모리 임플란트의 기반 개념을 탐구하고 이러한 아이디어를 Java 및 .NET 플랫폼 모두에서 어떻게 구현할 수 있는지 보여줍니다.

개발 과정에서 다음 주제를 연구했습니다:

• Java ClassLoader 내부
• .NET Assembly.Load() 및 리플렉션
• 인메모리 페이로드 실행
• 암호화된 통신 채널
• 세션 기반 메모리 임플란트
• 동적 페이로드 로딩
• 기본적인 안티-포렌식 기술

목표는 이러한 기술이 어떻게 작동하는지 이해하는 것이지, 오용을 장려하는 것이 아닙니다.

아키텍처

이 프레임워크는 두 개의 레이어로 나뉩니다:

NebulaPulsar

NebulaPulsar는 상주형 인메모리 임플란트입니다. 다음을 담당합니다:

• 암호화된 통신 채널(AES) 설정
• HTTP 세션 관리
• 수신 페이로드 복호화
• 클래스/어셈블리를 메모리에 동적으로 로드
• 페이로드 수명 주기 관리(영구/휘발성)

DarkMatter

DarkMatter는 NebulaPulsar에 의해 실행되는 페이로드입니다.

전송 레이어와 독립적으로 실제 포스트-익스플로잇 로직을 구현하므로, 추가 모듈과 기능으로 쉽게 확장할 수 있습니다.

작동 원리

NebulaPulsar는 먼저 대상 웹쉘에 주입되어 메모리에 상주합니다.

초기화되면 암호화된 통신 채널을 설정하고 수신 페이로드를 기다립니다.

그런 다음 DarkMatter와 같은 후속 페이로드가 이 채널을 통해 전달됩니다. NebulaPulsar는 페이로드를 복호화하여 메모리에 직접 로드하고 실행을 전달합니다.

DarkMatter는 더 고급 기능을 구현하는 반면, NebulaPulsar는 가벼운 상태를 유지하며 페이로드 관리 및 통신에 집중합니다.

데모 (스크린샷)

JSP

ASPX

ASMX

ASHX

Wireshark

사용법

다운로드:

wget https://github.com/iss4cf0ng/NebulaPulsar/releases/latest/download/NebulaPulsar.tar.gz
tar -xzf NebulaPulsar.tar.gz
cd ./NebulaPulsar

Python으로 실행:

python3 main.py --url http://localhost/nebulapulsar.jsp --script java --encoding='utf-8'

향후 계획

• DarkMatter(페이로드)에 더 많은 기능 추가

감사 인사

이 프로젝트를 확인해 주셔서 감사합니다. 피드백과 제안을 환영합니다.