Ferramenta de Evasão de Antivírus

AVET não está mais sendo desenvolvido devido a limitações técnicas e de tempo.

AVET é uma Ferramenta de Evasão de Antivírus, desenvolvida para facilitar a vida de pentesters e para experimentar técnicas de evasão de antivírus, bem como outros métodos usados por softwares maliciosos. Para uma visão geral dos novos recursos na v2.4, bem como incrementos de versões anteriores, consulte o arquivo CHANGELOG.

Índice

• Instalação

• Docker

• AVET de forma fácil

• AVET de forma normal

• Documentação (clique para expandir)

  • Métodos de recuperação de dados
  • Criptografia e Codificação
  • Evasão de sandbox
  • Execução de comandos adicionais
  • Ferramentas auxiliares
  • AVET e metasploit psexec
  • Exemplos Adversariais

• Mais

Alguns recursos

• ao executar um arquivo .exe feito com msfpayload e outros, o arquivo frequentemente será reconhecido por softwares antivírus
• AVET é uma ferramenta de evasão de antivírus direcionada a máquinas Windows com arquivos executáveis
• diferentes tipos de payloads de entrada podem ser usados agora: shellcode, exe e dlls
• mais técnicas disponíveis: injeção de shellcode/dll, process hollowing e mais
• métodos flexíveis de recuperação para payload, chave de descriptografia, etc.
• uso como dropper
• Encadear múltiplas iterações do AVET permite adicionar múltiplas camadas de evasão, se necessário
• combinação de técnicas: baixe seu payload criptografado via powershell, enquanto fornece a chave de descriptografia por argumento de linha de comando no momento da execução, e finalmente injete seu payload em outro processo, escolhendo entre múltiplas técnicas
• verificações básicas de sandbox
• geração de exemplos adversariais contra detectores estáticos baseados em aprendizado de máquina
• execute todos os scripts de build disponíveis com build_script_tester.py, também pode ser interessante para pesquisadores construírem um conjunto de amostras "maliciosas" usando diferentes técnicas de evasão e injeção

Nota Importante

Nem todas as técnicas evadirão todos os mecanismos de antivírus. Se uma técnica ou script de build não funcionar, teste outra. Sinta-se à vontade para experimentar! Afinal, isso é uma caixa de ferramentas - mas você mesmo deve empunhar o martelo.

Instalação

A Instrução de Instalação se aplica para Kali 64bit e tdm-gcc!

Você pode usar o script de setup:```bash ./setup.sh

Isso deve iniciar automaticamente instalando/configurando wine e instalando tdm-gcc.
Em breve você terá que clicar na interface gráfica do instalador do tdm-gcc - as configurações padrão devem estar boas.
O script também perguntará se você deseja instalar as dependências do AVET, que são necessárias para usar alguns scripts de compilação. As dependências baixadas serão colocadas em pastas separadas ao lado da pasta avet.

As dependências baixarão as versões mais recentes de:
- [pe_to_shellcode](https://github.com/hasherezade/pe_to_shellcode)
- [mimikatz](https://github.com/gentilkiwi/mimikatz)
- [DKMC](https://github.com/Mr-Un1k0d3r/DKMC)

Se por algum motivo você quiser instalar wine e tdm-gcc manualmente:
- [How to install tdm-gcc with wine](https://govolution.wordpress.com/2017/02/04/using-tdm-gcc-with-kali-2/)

## Docker

Se você não estiver usando Kali ou não quiser instalar o Metasploit no seu sistema, você pode usar o Container Docker.
O container encapsula Metasploit e avet e as amostras serão criadas no seu diretório atual.
Também é possível usar um editor de texto gráfico como o gedit.

Construindo o container:```bash
sudo docker build -t avet:v0.1 .

Uso:```bash sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet:v0.1 /bin/bash

Para uma melhor experiência, é recomendado criar um alias para isso.```bash
# In your .bash_profile, .bashrc or .bash_aliases

alias avet='sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet /bin/bash'

AVET do jeito fácil

avet.py é um pequeno utilitário Python que foi projetado para ajudá-lo no uso da ferramenta.

Ele lista todos os scripts atualmente presentes na pasta de build. Após selecionar um, você poderá percorrer o script linha por linha, tendo a oportunidade de modificar o conteúdo em tempo real.

Isso é especialmente útil, pois você pode definir novas variáveis LHOST e LPORT para o msfvenom cada vez que executar um script de build via fabric.
Você pode definir valores padrão de LHOST e LPORT no arquivo /build/global_connect_config.sh, que são usados se você não redefini-los.

Essas modificações são temporárias, o que significa que quaisquer alterações feitas não persistirão no script de build no disco.
A versão modificada é executada uma vez, e seu executável é construído.

                   .|        ,       +
         *         | |      ((             *
                   |'|       `    ._____
     +     ___    |  |   *        |.   |' .---"|
   _    .-'   '-. |  |     .--'|  ||   | _|    |
.-'|  _.|  |    ||   '-__  |   |  |    ||      |
|' | |.    |    ||       | |   |  |    ||      |