itaymigdal/pichichih0ll0werNim 기반 프로세스 할로잉 로더로, PE 실행 파일에 대해 구성 가능한 인젝션 방법, 직접/간접 시스템 콜, 안티 디버그, 페이로드 암호화, 다중 프로세스에 걸친 분할 인젝션을 지원합니다.
--== Nim으로 작성된 PE 전용 프로세스 할로잉 로더 ==--
저는 PichichiH0ll0wer를 배우고 기여하기 위해 만들었습니다. 물론이죠. 하지만 셸코드가 도처에 널린 것에 꽤 지쳐서이기도 합니다. PE를 로딩하는 것이 덜 은폐적일 수 있다는 것을 알고 있지만, 여전히 효율적이고 매번 PE 페이로드를 셸코드로 변환하는 싸움(항상 원활하게 작동하지는 않음)보다 더 편리합니다. 또한 PichichiH0ll0wer에는 페이로드를 보호하기 위한 몇 가지 기능이 있습니다. x64 EXE만 지원합니다.
분할 할로잉 예시: cscript.exe와 cmd.exe가 whoami.exe를 생성:
Nim 1.6.12로 빌드되었으며, Windows에서만 실행해야 합니다.
nimble install winim ptr_math nimprotect supersnappy argparse
Usage:
[options] exe_file injection_method
Arguments:
exe_file Exe file to load
injection_method Injection method
1 - Simple hollowing
2 - Direct syscalls hollowing
3 - Indirect syscalls hollowing
4 - Split hollowing using multiple processes
5 - Split hollowing using multiple processes and direct syscalls
6 - Split hollowing using multiple processes and indirect syscalls
Options:
-h, --help
-s, --sponsor=SPONSOR Sponsor path to hollow (default: self hollowing)
-a, --args=ARGS Command line arguments to append to the hollowed process
-f, --format=FORMAT PE hollower format Possible values: [exe, dll] (default: exe)
-e, --export=EXPORT DLL export name (relevant only for Dll format) (default: DllRegisterServer)
-b, --block Block unsigned Microsoft Dlls in the hollowed process
-p, --split Split and hide the payload blob in hollower (takes long to compile!)
-t, --sleep=SLEEP Number of seconds to sleep before hollowing (default: 0)
-g, --anti-debug=ANTI_DEBUG
Action to perform upon debugger detection Possible values: [none, die, troll] (default: none)
-k, --key=KEY RC4 key to [en/de]crypt the payload (supplied as a command line argument to the hollower)
-v, --veh Hollow will occur within VEH
-d, --debug Compile as debug instead of release (loader is verbose)
또한, 예제를 확인하세요.