EpSiLoNPoInTIkEv2.cpp

⚠️ Projeto em fase de finalização. NÃO totalmente funcional no estado atual.

---

Descrição

EpSiLoNPoInTIkEv2.cpp é um protótipo de exploit C/C++ direcionado ao Windows, desenvolvido em torno de uma exploração do tipo double-free em ikeext.dll (driver IKEv2 do Windows), referenciado em pesquisa em andamento como CVE-2026-33824.

O projeto agrupa:

• Uma camada de ofuscação completa (máquina virtual, embaralhamento de fluxo de controle, ocultação de strings, falsas assinaturas binárias, inline ASM anti-análise).
• Um motor de exploração IKEv2 completo (construção de pacotes, fragmentação SKF, heap grooming multi-thread, ROP chain, primitivas arbitrárias de leitura/escrita).
• Mecanismos de bypass do Windows Defender, AMSI e ETW.
• Um listener de shell reverso integrado na porta 4444.
• Uma GUI parcial (ListView, ComboBox, barra de status) para inspeção de regiões de memória suspeitas.

---

Arquitetura do código

1. Camada de ofuscação (EpSi_OBF_ENDL / obfusheader inspirado)

O código usa uma camada pesada de ofuscação ativada na compilação via #define EpSi_OBF_ENDL. Baseado em obfusheader.h, adaptado e estendido.

Falsas assinaturas binárias (FAKE_SIGNS == 1)

Seções PE personalizadas são injetadas no binário para enganar os scanners de protectores conhecidos:

• .vmp0, .vmp1, .vmp2 → VMProtect
• UPX0 → UPX
• .enigma1, .enigma2 → Enigma Protector
• .winlice → Themida
• .petite, .aspack, .adata, .rlp, .vlizer, .arch, .alien, .pwdprot, .dsstext, logicoma, __wibu00, __wibu01, PETETRIS, .tw, .rdata (Nuitka), .text (Screen2Exe), etc.
• Strings codificadas imitando Enigma (0x45,0x6e,0x69,...), Denuvo (0x64,0x65,0x6E,...).
• Tabela FAKE_DONGLE[] imitando dongles de hardware: skeydrv.dll, HASPDOSDRV, MARXDEV1.SYS, WIBUKEY, SNTNLUSB, RNBOspro, etc.

Máquina virtual aritmética (VIRT == 1)

Todas as operações aritméticas e lógicas podem ser roteadas em uma VM interna (Obfh_VirtualMachine):

• Os opcodes (OP__ADD, OP__SUB, ..., OP__NOP) são gerados aleatoriamente na compilação via __COUNTER__ e RND().
• Cada opcode é criptografado: _VM_ENCRYPT_INT(value) = (value - _VM_MUTATOR_KEY) * ~SALT_CMD.
• Os operandos são salgados, invertidos (* -1), e passados com junk values.
• A VM em si é repleta de goto, falsos case negativos, BREAK_STACK_* (inline ASM xor; jz; .byte 0xE8; cpuid), falsos JMP (.byte 0xFF, 0x25) e blocos de falso código x86_64 para enganar os descompiladores.
• Macros expostas: VM_ADD, VM_SUB, VM_MUL, VM_DIV, VM_MOD, VM_EQU, VM_NEQ, VM_LSS, VM_GTR, VM_LEQ, VM_GEQ, VM_OBF_INT, VM_ADD_DBL, VM_MUL_DBL, etc.

Controle de fluxo ofuscado (NO_CFLOW != 1)

• #define if(cond) : cada if injeta uma chamada __s_rdtsc() e um BAD_CALL morto.
• #define else : injeta um else if (0) { BAD_CALL; } morto antes do verdadeiro else.
• #define while(...) : condicionado por __s_rdtsc() != 0.1 e uma verificação de ponteiro absurda.
• #define for(...) : condicionado por OBFUS_CONDITION_BLOCK.
• #define switch(...) : condicionado por OBFUS_CONDITION_BLOCK.
• #define break : injeta if (OBFUS_CONDITION_BLOCK) BREAK_STACK_1 antes de cada break.

Ocultação de strings (HIDE_STRING)

• STACK_STRING(str) : coloca a string na pilha via compound literal.
• HIDE_STRING(str) : combina obfh_process_hidden_string() + __s_rdtsc() com BAD_JMP morto para ocultar a string no binário.

Proxies de API (resolução dinâmica completa)

Todas as funções CRT e Win32 são redirecionadas:

• CRT via GetProcAddress(LoadLibraryA("msvcrt"), ...) dinâmico: printf, scanf, sprintf, strlen, strcmp, strcpy, strtok, memset, memcpy, strchr, strrchr, rand, realloc, calloc, fopen, fclose, fread, fwrite, exit, snprintf, vsprintf, vsnprintf, getenv, system, abort, atexit, getcwd, tolower, toupper.
• Win32 via wrappers obfh_int_proxy() em todos os parâmetros: CreateFile, ReadFile, WriteFile, CloseHandle, VirtualAlloc, VirtualFree, CreateThread, WaitForSingleObject, WaitForMultipleObjects, ExitProcess, GetModuleHandle, GetModuleFileName, HeapCreate, HeapAlloc, HeapFree, GlobalAlloc, GlobalFree, GetTempPath, SetEvent, ResetEvent, Sleep, memmove, GetParent, GetWindowRect, GetClientRect, SetWindowPos, SetConsoleTextAttribute, GetDesktopWindow, GetStockObject.
• GetProcAddress substituído por GetProcAddress_custom: percurso manual do IMAGE_EXPORT_DIRECTORY (parse PE: e_lfanew, IMAGE_NT_HEADERS, IMAGE_DIRECTORY_ENTRY_EXPORT, AddressOfFunctions, AddressOfNames, AddressOfNameOrdinals).
• LoadLibraryA ofuscado em cadeia de 6 wrappers aninhados (LoadLibraryA_0 a LoadLibraryA_proxy), com reconstrução do nome da DLL caractere por caractere via variáveis voláteis _k, _e, _r, _n, _e, _l e sprintf.

Anti-debug (ANTI_DEBUG_V2 == 1)

• Thread dedicada (ThreadCompareDRs): SuspendThread no thread principal, GetThreadContext com CONTEXT_DEBUG_REGISTERS, verificação de Dr0–Dr3, Dr7, zeramento via ad_ZeroDRs.
• IsDebuggerPresent_proxy : carrega kernel32.dll dinamicamente, reconstrói o nome da função IsDebuggerPresent caractere por caractere via variáveis voláteis (_I, _s, _D, _e, _b, _u, _g, _g, _e, _r, _P, _r, _e, _s, _e, _n, _t), chamada via GetProcAddress.
• Macro ANTI_DEBUG : dupla verificação IsDebuggerPresent() || IsDebuggerPresent_proxy(), dispara loop() (loop infinito), .byte 0xED (IN privilegiado), BREAK_STACK_1, ret ASM, depois crash() (int $3 + .byte 0xED, 0x00).

Macros BREAK_STACK (antianálise de pilha)

9 variantes de sequências inline ASM inseridas nas funções sensíveis: xor; jz; .byte 0xE8; cpuid (variações em eax, ebx, edx), falsos opcodes 0x50, 0x20, 0x00, 0xEB, 0xE1 (x86), 0xFF, 0x25, 0xF1, 0xF2, 0xF3, 0xF4 (x86_64).

---

2. Motor IKEv2 / Exploit

Dependências

#include "runassys/ntnative.h"
#include "runassys/runassys.h"
#include "runassys/ntdll-stubs/ntdll-stubs.c"
#include "runassys/ntdll-stubs/ntdll.def.c"
#pragma comment(lib, "ws2_32.lib")
#pragma comment(lib, "iphlpapi.lib")
#pragma comment(lib, "bcrypt.lib")
#pragma comment(lib, "Version.lib")

Constantes do exploit

• Alvo: IKEEXT_BASE_ADDRESS = 0x180000000
• Offset double free: g_IkeextDoubleFreeOffset = 0x12B960
• Handler de payload IKE: g_IkeextProcessIkePayload = 0x52220
• Diretórios PE do ikeext: Export (0x1790A0), Import (0x179110), Exception (0x183000), Reloc (0x18C000), LoadConfig (0x12AE70), Debug (0x155CD0).
• Offsets de estruturas internas: g_Offset_MMSA_SecurityRealmBlob = 0x208, g_Offset_PacketContext_Blob = 0xC8.
• Porta IKEv2: 500 (UDP), shell callback: 4444.

Estruturas IKEv2 definidas

IKE_HEADER, IKE_SA_PAYLOAD, IKE_PROPOSAL_PAYLOAD, IKE_TRANSFORM_PAYLOAD, IKE_NONCE_PAYLOAD (32 bytes nonce), IKE_KEY_EXCHANGE_PAYLOAD (DH 256 bytes), IKE_NOTIFY_PAYLOAD, IKE_VENDOR_ID_PAYLOAD, IKE_SKF_FRAGMENT_PAYLOAD.

Transforms configurados: AES-CBC-128 (12), PRF HMAC-SHA2-256 (5), INTEG HMAC-SHA2-256-128 (12), DH MODP-2048 (14).

Estruturas DDoS personalizadas

• IKE_DDOS_AMPLIFIER_PAYLOAD : fator de amplificação + 64 octetos trigger.
• IKE_DDOS_LOOP_PAYLOAD : contador de loop + 32 octetos loop_code.
• IKE_DDOS_MEMORY_PAYLOAD : tamanho/contagem de alocação + 64 octetos heap spray data.