Project Ares

Project Ares Injector

O Project Ares Injector é um loader de Prova de Conceito (PoC) escrito em C/C++ baseado na técnica Transacted Hollowing. O loader injeta um PE num processo remoto e possui:

• Spoofing de PPID
• CIG para bloquear binários não assinados pela Microsoft
• Resolução dinâmica de funções sem as APIs LoadLibrary() ou GetProcAddress()
• Hashing de APIs
• Desenganchamento da NTDLL ao recarregar a secção .text com uma versão limpa do disco
• Uso minimizado de APIs WIN32
• Deteção básica de sandbox
• Payload criptografado com AES256 CBC carregado a partir de recursos do PE

O loader é atualmente apenas 64-bit e suporta apenas payloads 64-bit.

Project Ares Cryptor

O Cryptor é uma aplicação de consola básica destinada a criptografar o payload antes de o adicionar como recurso PE ao Injector. Aceita um único argumento <filepath> para o payload em disco, que é então criptografado e escrito em disco como payload.bin.

Utilização

1. Altere a chave de criptografia em Injector/main.cpp na linha 329 para um valor de 16 bytes
2. Altere a chave de criptografia em Cryptor/main.cpp na linha 34 para corresponder à chave de criptografia em Injector

Opcionalmente, os vetores de inicialização podem ser modificados, devem ter também 16 bytes:

const uint8_t iv[] = { 0x00, 0x01, 0x02, 0x03, 0x04, 0x05, 0x06, 0x07, 0x08, 0x09, 0x0a, 0x0b, 0x0c, 0x0d, 0x0e, 0x0f };

3. Use Cryptor.exe para criptografar o payload x64 à sua escolha
4. Adicione payload.bin como recurso ao Injector, certifique-se de nomeá-lo payload_bin ou modifique a linha 324 em Injector/main.cpp para corresponder ao nome dado:

HRSRC rc = FindResource(NULL, MAKEINTRESOURCE(IDR_PAYLOAD_BIN1), L"PAYLOAD_BIN");

5. Lucro

Nota:

O processo padrão iniciado é svchost.exe O processo pai falsificado padrão é explorer.exe