InvisibilityCloak

Kit de ofuscação de prova de conceito para ferramentas de pós-exploração em C#. Isto irá realizar as seguintes ações para um projeto C# do Visual Studio.

• Alterar o nome da ferramenta
• Alterar o GUID do projeto
• Ofuscar strings compatíveis nos ficheiros de código fonte com base no método de ofuscação inserido pelo utilizador
• Remove comentários de uma linha (ex.: // isto é um comentário)
• Remove a opção de string PDB para assembly .NET compilado em modo release

Publicação no blogue: https://securityintelligence.com/posts/invisibility-cloak-obfuscate-c-tools-evade-signature-based-detection

Candidatos a Strings Não Ofuscadas

Os seguintes candidatos a strings não estão incluídos na ofuscação

• Strings com menos de 3 caracteres
• Strings que utilizam interpolação de strings (ex.: Console.WriteLine($"Hello, {name}! Today is {date.DayOfWeek}, it's {date:HH:mm} now.");)
• Declarações case, pois precisam de valores estáticos
• Variáveis const, pois precisam de valores estáticos
• Strings em assinaturas de métodos, pois precisam de valores estáticos
• Linha com " => " usada em declarações switch, precisa de um valor estático.
• is numa declaração if ao fazer comparação, pois os valores comparados devem ser estáticos
• Strings dentro de expressões regulares
• Strings override, pois precisam de valores estáticos
• Os seguintes casos especiais aleatórios para strings, pois causaram problemas ao codificar/descodificar
  • String começando ou terminando com '
  • ""' na linha
  • + @" na linha
  • """ na linha
  • "" na linha
  • Encoding.Unicode.GetString na linha
  • Encoding.Unicode.GetBytes na linha
  • Encoding.ASCII.GetBytes na linha
  • Linha começando com " e terminando com ")]. Isto é tipicamente usado para switches de linha de comandos e precisa de um valor estático.

Informações de Suporte

• Windows
• Linux (sistemas baseados em Debian)
• Python3

Argumentos/Opções

• -d, --directory - diretório onde o seu projeto do Visual Studio está localizado
• -m, --method - método de ofuscação (base64, rot13, reverse)
• -n, --name - nome da sua nova ferramenta
• -h, --help - menu de ajuda
• --version - obter versão da ferramenta

Uso/Exemplos

Executar InvisibilityCloak com ofuscação de strings

Ofuscação de Strings Base64

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m base64

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m base64

Ofuscação de Strings ROT13

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m rot13

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m rot13

Ofuscação de Strings Reversa

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m reverse

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m reverse

Executar InvisibilityCloak sem ofuscação de strings

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool"

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool"

Estatísticas de Deteção Baseada em Assinaturas

A tabela abaixo mostra as estatísticas de deteção baseada em assinaturas entre as versões não ofuscadas e ofuscadas de 20 ferramentas C# públicas populares com InvisibilityCloak.

Isto é especificamente para o Microsoft Defender (versão gratuita), e preciso a partir de 14 de abril de 2022.

Ferramenta	Ligação	Não ofuscado	Ofuscado com InvisibilityCloak
ADCSPwn	https://github.com/bats3c/ADCSPwn	Detetado	Não detetado
Certify	https://github.com/GhostPack/Certify	Detetado	Não detetado
Farmer	https://github.com/mdsecactivebreach/Farmer	Detetado	Não detetado
Rubeus	https://github.com/GhostPack/Rubeus	Detetado	Detetado
SafetyKatz	https://github.com/GhostPack/SafetyKatz	Detetado	Não detetado
Seatbelt	https://github.com/GhostPack/Seatbelt	Detetado	Não detetado
SharpClipboard	https://github.com/slyd0g/SharpClipboard	Não detetado	Não detetado
SharPersist	https://github.com/mandiant/SharPersist	Não detetado	Não detetado
SharpExec	https://github.com/anthemtotheego/SharpExec	Detetado	Não detetado
SharpGPOAbuse	https://github.com/FSecureLABS/SharpGPOAbuse	Detetado	Não detetado
SharpHound	https://github.com/BloodHoundAD/SharpHound	Não detetado	Não detetado
SharpLogger	https://github.com/djhohnstein/SharpLogger	Detetado	Não detetado
SharpMove	https://github.com/0xthirteen/SharpMove	Detetado	Não detetado
SharpRDP	https://github.com/0xthirteen/SharpRDP	Detetado	Detetado
SharpSecDump	https://github.com/G0ldenGunSec/SharpSecDump	Detetado	Não detetado
SharpUp	https://github.com/GhostPack/SharpUp	Não detetado	Não detetado
SharpView	https://github.com/tevora-threat/SharpView	Detetado	Não detetado
SharpWMI	https://github.com/GhostPack/SharpWMI	Detetado	Não detetado
StandIn	https://github.com/xforcered/StandIn	Detetado	Não detetado
WireTap	https://github.com/djhohnstein/WireTap	Não detetado	Não detetado

Estatísticas de Tamanho de Ferramentas C# Compiladas

A tabela abaixo mostra os tamanhos de ficheiro de 20 ferramentas C# públicas populares entre as versões não ofuscadas e ofuscadas usando InvisibilityCloak com vários métodos de ofuscação de strings.