optiv/mangleMangle은 컴파일된 실행 파일(.exe 또는 DLL)의 여러 측면을 조작하여 EDR의 탐지를 회피하는 도구입니다.
Mangle의 최신 버전을 보거나 이슈를 제출하려면 https://github.com/Tylous/Mangle을 참조하십시오.
Tyl0us 제작
Source Zero Con 2022에서 소개됨
Mangle은 컴파일된 실행 파일(.exe 또는 DLL)의 여러 측면을 조작하는 도구입니다. Mangle은 알려진 침해 지표(IoC) 기반 문자열을 제거하고 무작위 문자로 대체하며, 파일 크기를 늘려 EDR을 회피하고, 합법적인 파일의 코드 서명 인증서를 복제할 수 있습니다. 이를 통해 Mangle은 로더가 디스크 기반 및 메모리 기반 스캐너를 회피하는 데 도움을 줍니다.
Mangle은 Golang으로 개발되었습니다.
첫 번째 단계는 언제나 그렇듯 리포지토리를 클론하는 것입니다. Mangle을 컴파일하기 전에 의존성을 설치해야 합니다. 설치하려면 다음 명령어를 실행하십시오:
go get github.com/Binject/debug/pe
그런 다음 빌드합니다.
go build Mangle.go
Mangle이 Golang으로 작성되었지만, 많은 기능은 다른 언어의 실행 파일에서 작동하도록 설계되었습니다. 출시 시점에서 Golang 전용 기능은 문자열 조작 부분뿐입니다.
./mangle -h
_____ .__
/ \ _____ ____ ____ | | ____
/ \ / \\__ \ / \ / ___\| | _/ __ \
/ Y \/ __ \| | \/ /_/ > |_\ ___/
\____|__ (____ /___| /\___ /|____/\___ >
\/ \/ \//_____/ \/
(@Tyl0us)
Usage of ./Mangle:
-C string
Path to the file containing the certificate you want to clone
-I string
Path to the orginal file
-M Edit the PE file to strip out Go indicators
-O string
The new file name
-S int
How many MBs to increase the file by
Mangle은 입력 실행 파일을 받아 보안 제품이 찾거나 경고하는 알려진 문자열을 검색합니다. 이러한 문자열만이 탐지의 유일한 지점은 아닙니다. 종종 이러한 문자열은 탐지 및 예방을 위해 다른 데이터 포인트 및 텔레메트리와 함께 사용됩니다. Mangle은 이러한 알려진 문자열을 찾아서 제거하기 위해 16진수 값을 무작위 값으로 대체합니다. 중요: Mangle은 조작하는 문자열의 정확한 크기를 대체합니다. 더 많거나 적게 추가하지 않습니다. 그렇게 하면 파일에 정렬 불량 및 불안정성이 발생할 수 있기 때문입니다. Mangle은 -M 명령줄 옵션을 사용하여 이 작업을 수행합니다.
현재 Mangle은 Golang 파일만 처리하지만 시간이 지남에 따라 다른 언어가 추가될 예정입니다. 다른 언어에 대한 정보가 있으면 이슈 티켓을 열어 제출해 주십시오.
이전
이후
거의 모든 EDR은 특정 크기 이상의 디스크 또는 메모리 내 파일을 스캔할 수 없습니다. 이는 단순히 큰 파일을 검토, 스캔 또는 모니터링하는 데 시간이 더 오래 걸리기 때문입니다. EDR은 사용자의 생산성을 저하시켜 성능에 영향을 주고 싶지 않습니다. Mangle은 파일 끝에 Null 바이트(0)로 패딩을 생성하여 파일 크기를 증가시킵니다. 이렇게 하면 파일 내부의 내용에 영향을 주지 않습니다. 실행 파일의 크기를 늘리려면 -S 명령줄 옵션과 함께 파일에 추가할 바이트 수를 지정하십시오. 요즘 인터넷 속도가 매우 빠르기 때문에 큰 페이로드는 더 이상 문제가 되지 않지만, 2GB 파일을 만드는 것은 권장되지 않습니다.
수많은 사용자 공간 및 커널 EDR에 대한 테스트 사례를 기반으로, 크기를 95-100 메가바이트 정도 늘리는 것이 권장됩니다. 벤더는 큰 파일을 검사하지 않기 때문에 활동이 눈에 띄지 않으며, 결과적으로 쉘코드가 성공적으로 실행됩니다.
Mangle은 또한 합법적인 코드 서명 인증서의 전체 체인과 모든 속성을 파일에서 가져와 다른 파일에 복사하는 기능을 포함합니다. 여기에는 서명 날짜, 대응 서명(counter signatures) 및 기타 측정 가능한 속성이 포함됩니다.
이 기능은 제가 개발한 다른 도구인 Limelighter와 비슷하게 들릴 수 있지만, 두 도구의 주요 차이점은 Limelighter는 도메인을 기반으로 가짜 인증서를 만들고 현재 날짜와 시간으로 서명하는 반면, 이 기능은 원본 파일에서 타임스탬프를 가져온 유효한 속성을 사용한다는 점입니다. 이 옵션은 DLL 또는 .exe 파일을 사용하여 인증서를 복사할 수 있으며, -C 명령줄 옵션과 함께 인증서를 복사할 파일의 경로를 지정합니다.