LOLSpoof

LOLSpoof는 생성된 프로세스의 명령줄 인수를 자동으로 위장하는 대화형 셸 프로그램입니다. 의심스러운 명령줄 LOLBin(예: powershell -w hidden -enc ZwBlAHQALQBwAHIAbwBjAGUA....)을 호출하기만 하면 LOLSpoof가 프로세스 생성 텔레메트리가 합법적이고 명확하게 보이도록 보장합니다.

64비트 LOLBin에만 사용하세요.

왜

프로세스 명령줄은 매우 많이 모니터링되는 텔레메트리이며, AV/EDR, SOC 분석가 또는 위협 사냥꾼에 의해 철저히 검사됩니다.

방법

1. 실제 명령줄에서 위장된 명령줄을 준비합니다: lolbin.exe " " * sizeof(real arguments)
2. 위장된 명령줄로 해당 일시 중단된 LOLBin을 생성합니다.
3. 원격 PEB 주소를 가져옵니다.
4. RTL_USER_PROCESS_PARAMETERS 구조체의 주소를 가져옵니다.
5. 명령줄 유니코드 버퍼의 주소를 가져옵니다.
6. 가짜 명령줄을 실제 명령줄로 덮어씁니다.
7. 주 스레드를 재개합니다.

작전 보안 고려사항

이 간단한 기술은 명령줄 탐지를 우회하는 데 도움이 되지만, 다른 의심스러운 텔레메트리를 도입할 수 있습니다:

1. 일시 중단된 프로세스 생성
2. 새 프로세스에 후행 공백이 있습니다 (하지만 반복되는 문자나 심지어 임의의 데이터로 쉽게 대체할 수 있습니다)
3. WriteProcessMemory로 생성된 프로세스에 쓰기

빌드

Nim 1.6.12로 빌드됨 (Nim 2.X로 컴파일하면 오류 발생!)

nimble install winim

알려진 문제

이전에 출력된 콘솔 메시지를 지우거나 변경하는 프로그램(예: timeout.exe 10)은 프로그램을 중단시킵니다. 이러한 명령을 사용할 경우 콘솔을 다시 시작해야 합니다. 해결 방법을 모르겠습니다. 제안을 받습니다.