AceLdr - 메모리 스캐너 회피

Cobalt Strike를 위한 위치 독립적 리플렉티브 로더입니다. Hunt-Sleeping-Beacons, BeaconHunter, BeaconEye, Patriot, Moneta, PE-sieve, MalMemDetect에서 0건의 결과를 반환합니다.

기능

사용하기 쉬움

쉘코드를 생성하기 전에 단일 CNA 스크립트를 가져오세요.

동적 메모리 암호화

Beacon에서 할당된 모든 항목에 대해 새 힙을 생성하고 절전 전에 항목을 암호화합니다.

코드 난독화 및 암호화

CS 실행 코드를 포함하는 메모리를 비실행 가능으로 변경하고 암호화합니다 (FOLIAGE).

실행 시 반환 주소 스푸핑

특정 WinAPI 호출이 스푸핑된 반환 주소로 실행됩니다 (InternetConnectA, NtWaitForSingleObject, RtlAllocateHeap).

Sleep 없이 절전

WaitForSingleObjectEx를 사용한 지연 실행.

RC4 암호화

모든 암호화는 SystemFunction032로 수행됩니다.

알려진 문제

• 쉘코드 스레드가 계속 살아 있어야 하는 로더와 호환되지 않습니다.

참고 자료

이 프로젝트는 다음이 없었다면 불가능했을 것입니다:

• FOLIAGE
• x64 반환 주소 스푸핑 (소스 + 설명)

다른 기능과 영감은 다음에서 얻었습니다:

• https://www.arashparsa.com/bypassing-pesieve-and-moneta-the-easiest-way-i-could-find/
• https://github.com/secidiot/TitanLdr
• https://github.com/JLospinoso/gargoyle
• https://www.forrest-orr.net/post/masking-malicious-memory-artifacts-part-ii-insights-from-moneta
• https://www.arashparsa.com/hook-heaps-and-live-free/
• https://blog.f-secure.com/hunting-for-gargoyle-memory-scanning-evasion/
• https://www.elastic.co/blog/detecting-cobalt-strike-with-memory-signatures