blenny

Blenny é uma ferramenta de ofuscação de payload de prova de conceito para Windows que oculta dados de payload executáveis dentro do ícone do executável. O nome é uma referência ao blênio-dente-de-sabre, que imita o comportamento e a aparência de peixes limpadores para predar peixes desavisados.

Por quê?

Não me lembro exatamente como a história se passa, mas um hacker chamado retr0id (@DavidBuchanan314) levantou a ideia de ocultar um payload dentro do ícone de um executável. Devido a várias peculiaridades dos arquivos PNG — e como arquivos de ícone do Windows podem conter dados PNG — percebi que poderia implementar essa ideia com bastante facilidade; só precisaria de um pouco de esforço. Criei a biblioteca Facade — uma biblioteca com o propósito específico de gerar payloads em arquivos PNG — para exatamente esse fim.

O resultado final é um arquivo de payload compacto e um sistema de build que pode ser usado para personalizar um payload básico de dropper/executor para Windows.

Obtendo

O Blenny utiliza a biblioteca Facade para criar payloads a partir de arquivos de ícone. Portanto, ao obter o repositório, o submódulo (e seus submódulos) precisa ser inicializado:

$ git clone https://github.com/frank2/blenny.git
$ cd blenny
$ git submodule update --init --recursive

Isso deve ser tudo o que você precisa para inicializar o repositório para compilar.

Compilação

Este projeto foi literalmente projetado pensando no CMake. Portanto, antes de compilar este projeto, é requisito absoluto que você obtenha e instale o CMake. Provavelmente não funcionará de outra forma (a menos que você esteja realmente dedicado a definir manualmente todas as definições do CMake por conta própria). Você também precisará de uma cópia do Visual Studio para compilar o projeto.

Este projeto faz uso de inúmeras variáveis do CMake para configurar o processo de build. Para obter um payload básico de demonstração, no qual um adorável amigo ovelha pousará na sua área de trabalho, execute o seguinte no diretório principal do projeto:

$ mkdir build
$ cd build
$ cmake -D BLENNY_ZTEXT_PAYLOAD=ON ../
$ cmake --build ./ --config Release
$ ./Release/blenny.exe

Por padrão, isso extrai um executável chamado blenny.exe do ícone do executável para o diretório temporário do usuário atual e, em seguida, o executa. O payload padrão é o DesktopPet de @AdrianoTiger, uma reconstrução dedicada do clássico esheep.exe dos anos 90.

Todas as variáveis que fazem isso acontecer são personalizáveis! Uma variável de payload (BLENNY_TRAILING_PAYLOAD, BLENNY_TEXT_PAYLOAD, BLENNY_ZTEXT_PAYLOAD ou BLENNY_STEGO_PAYLOAD) deve ser definida. Isso controla como o payload é eventualmente inserido no ícone. Consulte a biblioteca Facade para obter detalhes sobre essas técnicas. Por exemplo, para usar seu próprio payload, faça o seguinte:

$ cmake -D BLENNY_PAYLOAD_FILE="path/to/your/payload.exe" -D BLENNY_ZTEXT_PAYLOAD=ON ../
$ cmake --build ./ --config Release

Aqui está uma tabela com todas as opções de configuração que você pode definir, seus valores padrão e o que elas fazem.