DarkWidow

Windows를 대상으로 하는 사용자 정의 가능한 드로퍼 도구입니다.

감사의 말:

Soumyadeep Da (일명 @SoumyadeepBas12)님께 이 컨퍼런스에 지원하도록 격려해 주셔서 정말 감사드립니다. 그렇지 않았다면 하지 않았을 것입니다 :)
Faran (일명 @Chrollo_l33t)님께 이 도구 프레젠테이션을 위한 슬라이드와 PPT 제작을 도와주셔서 정말 감사드립니다 :)

기능:

간접 동적 시스템 콜. (MITRE ATT&CK TTP: T1106)
수정된 TartarusGate 방식을 통한 SSN + 시스템 콜 주소 정렬
APC 얼리 버드를 통한 원격 프로세스 인젝션으로 EDR의 원격 측정 수집 차단. (MITRE ATT&CK TTP: T1055.004)
희생 프로세스를 대상 프로세스로 생성하여 환경에서 이미 열려 있는 프로세스를 방해하지 않습니다.
생성된 희생 프로세스에 ACG(Arbitrary Code Guard)/BlockDll 완화 정책 적용.
PPID 스푸핑 (MITRE ATT&CK TTP: T1134.004)
TIB에서 직접 (TIB -> TEB -> PEB 오프셋을 통해) API 및 DLL 해결하여 Nt API 해결 (MITRE ATT&CK TTP: T1106)
저주받은 Nt API 해싱 (MITRE ATT&CK ID: S0574)

보너스: 관리자 권한이 있다면 =>

EventLog 서비스 스레드를 _종료_하여 이벤트 로그 비활성화 (MITRE ATT&CK TTP: T1562.002)

단점: 스레드가 재개되면 이벤트 로거 중단 중에 발생한 모든 이벤트가 다시 기록됩니다!

그래서 대신 종료하는 것을 생각했습니다!

"중단보다 더 침습적이지만 결정은 항상 운영자에게 달려 있습니다. 게다가 스레드를 종료하면 커널 수준에서 기록됩니다." - @SEKTOR7net

간접 시스템 콜 임플란트에서 해당 스레드만 종료하려고 할 때 오류가 발생했습니다. "eventlog" _SubProcessTag Value_를 가져올 수 없었습니다. 그래서 모든 스레드를 종료, 즉 전체 프로세스(해당 svchost.exe)를 종료하기로 결정했습니다. 네, IOC를 만들고 있습니다!.

=

1. EDR/Ring-3/UserLand 후크 우회

2. 시스템 콜 및 반환 문이 ntdll.dll 메모리에서 실행됩니다.

3. 호출 스택의 반환 주소를 확인하여 EDR 탐지를 우회할 수 있습니다.

컴파일:

VS 컴파일러를 통해 직접:

/MT 컴파일러 플래그도 추가하세요! => CRT 함수를 바이너리에 정적으로 연결합니다 (네, 맞췄습니다, 임플란트가 커집니다)

compile.bat를 통해서도 가능 (옵션 1 선호)

./compile.bat

사용법:

PS C:> .\x64\Release\indirect.exe
[!] Wrong!
[->] Syntax: .\x64\Release\indirect.exe <PPID to spoof>

실행 중:

https://github.com/reveng007/DarkWidow/assets/61424547/62a90c5b-84af-4389-8ddc-9f7926debdcf

Sofos XDR 엔드포인트에서 경고 없이 성공적인 실행:

SofosXDREvade

추가 개선 사항:

PPID 스푸핑 (Emotet 방식)
훨씬 더 은밀한 이벤트 로그 비활성화 사용 사례!

도움이 된 코드 일부 및 링크:

TIB:
- https://en.wikipedia.org/wiki/Win32_Thread_Information_Block
- https://www.wikiwand.com/en/Win32_Thread_Information_Block
GS 및 FS 레지스터:
- https://stackoverflow.com/questions/39137043/what-is-the-gs-register-used-for-on-windows
- https://stackoverflow.com/questions/10810203/what-is-the-fs-gs-register-intended-for#:~:text=The%20registers%20FS%20and%20GS,to%20access%20thread%2Dspecific%20memory.
PEB LDR 구조:
- BlackHat - What Malware Authors Don't Want You to Know - Evasive Hollow Process Injection by @monnappa22
- 위 링크의 프로세스 메모리 사진:
- labs.cognisys.group의 @D1rkMtr 블로그:
TIB -> TEB -> PEB -> Nt API 해결 및 API 해싱


#include <stdint.h>
#include <stdio.h>
#include <Windows.h>

DWORD64 djb2(const char* str)
{
	DWORD64 dwHash = 0x7734773477347734;
	int c;

	while (c = *str++)
		dwHash = ((dwHash << 0x5) + dwHash) + c;


	return dwHash;
}

int main(int argc, char** argv)
{
	if (argc < 2)
	{
		printf("[!] Wrong!\n");
		printf("[->] Syntax: .\\%s <NTFuncName>\n\n", argv[0]);
		return 1;
	}

	const char* string = argv[1];

	DWORD64 hashvalue = djb2(string);

	printf("Hash Value: 0x%llX\n", hashvalue);

	return 0;
}

ACG(Arbitrary Code Guard)/BlockDll 완화 정책:
- 링크:
- Protecting Your Malware by @xpn
- Wraith by @winterknife
- spawn 및 HOLLOW by @0xBoku
PPID 스푸핑 탐지:
- PPID Spoofing Detect by @spotheplanet
- 시간이 나면 이 부분에 탐지 부분을 추가할 예정입니다! -> [나머지................................................!]
Moneta 탐지 및 PESieve 탐지:\
- Moneta:
- PESieve:
Capa 스캔:
임플란트 프로세스의 스레드 스택 모양:

임플란트 프로세스	정상 Cmd 프로세스

"간접 시스템 콜 POC에서 ntdll.dll 메모리 내에서 반환 명령을 실행함으로써 반환 주소를 성공적으로 스푸핑하고, ntdll.dll을 호출 스택 최상단에 배치하여 EDR이 더 높은 합법성을 해석하도록 할 수 있습니다." - @VirtualAllocEx의 DirectSyscall Vs Indirect Syscall
또한 @peterwintrsmith님께 감사드립니다!

계측 콜백 우회: 이 POC - syscall-detect by winternl_t 사용

사용한 EventLogger 구성:

SeDebugPrivilege 설정:
다음에서: 다음으로:
이벤트 로그 스레드 종료:
- rto-win-evasion by @SEKTOR7net
- Phant0m by @hlldz
- Goblin by @winterknife
- disabling-windows-event-logs-by-suspending-eventlog-service-threads by @spotheplanet
  다음에서:
  
  다음으로:
- 이 방법은 간접 시스템 콜 구현에서 오류를 일으켰습니다. 그래서 책임 있는 svchost.exe 내의 모든 스레드를 종료하기로 결정했습니다 (이유: 위로 이동).