xeca

xeca는 공격 목적으로 암호화된 PowerShell 페이로드를 생성하는 프로젝트입니다.

DLL 파일로부터 위치 독립적 셸코드를 생성하는 것도 가능합니다.

참고: 사용자 지정 AMSI 우회 코드는 src/assets/amsi-bypass.ps1에 배치하세요.

목차

• xeca
  • 설치
  • 작동 방식
  • 완화 조치
  • 예제
    • Covenant
    • Empire
    • Merlin
    • Sliver
  • 감사의 말
  • 라이선스

설치

먼저 Rust가 설치되어 있어야 하며, 다음 명령으로 프로젝트를 빌드하세요:

cargo build

작동 방식

1. 페이로드를 식별하고 암호화합니다. 암호화된 페이로드를 PowerShell 스크립트에 로드하여 "launch.txt" 파일로 저장합니다.
2. 페이로드 복호화 키는 "safe.txt" 파일로 저장됩니다.
3. 원격 호스트에서 "launch.txt"를 실행합니다.
   • 스크립트는 공격자가 정의한 웹 서버로 콜백하여 복호화 키 "safe.txt"를 검색합니다.
   • 메모리에서 페이로드를 복호화합니다.
   • 메모리에서 의도한 페이로드를 실행합니다.

완화 조치

사용자가 powershell.exe와 같은 프로그램에 액세스해야 하는 경우, Just Enough Administration 및 PowerShell Logging을 통해 보안 위험을 최소화하는 것을 고려하세요. AppLocker와 같은 허용 목록 기술을 통해 애플리케이션 제어 정책을 배포할 수 있습니다.

예제

Covenant

Covenant .NET 어셈블리 donut 페이로드.

Empire

Empire PowerShell 페이로드.

Merlin

Merlin DLL 페이로드.

Sliver

Sliver 셸코드 페이로드.

감사의 말

이 도구는 지식과 정보의 공유 없이는 불가능했을 것입니다. 다음 작성자들의 아이디어, 스니펫 및 코드에 감사드립니다:
@monoxgas
@H0neyBadger
@TheWover
@stephenfewer
@dismantl
@tandasat
@cobbr

라이선스

xeca는 GPLv3에 따라 라이선스가 부여되며, 일부 하위 구성 요소는 별도의 라이선스를 가질 수 있습니다. 자세한 내용은 이 프로젝트의 각 참조를 확인하세요.