NXcrypt

• NXcrypt é um crypter polimórfico de backdoors Python, escrito em Python por Hadi Mene (h4d3s). A saída é totalmente indetectável.

• O NXcrypt pode injetar um arquivo Python malicioso em um arquivo normal com sistema de múltiplas threads.

• Execute com permissões de superusuário.

• A saída do NXcrypt é totalmente indetectável.

Módulo de Backdoor :

Módulo de Criptografia

Uso :

• sudo ./NXcrypt.py --file=backdoor.py --output=output_backdoor.py # criptografa backdoor.py e o arquivo de saída é output_backdoor.py
• sudo ./NXcrypt.py --file=shell.py # criptografa shell.py e o arquivo de saída padrão é backdoor.py, mas você pode editá-lo no código-fonte
• sudo ./NXcrypt.py --help # ajuda do NXcrypt
• sudo ./NXcrypt.py --backdoor-file=payload.py --file=test.py --output=hacked.py # injeta payload.py com test.py em hacked.py com sistema de múltiplas threads

Como funciona ?

• Módulo de Criptografia :

• NXcrypt adiciona algum lixo (junkcode).
• NXcrypt usa o módulo interno do Python 'py_compile' que compila o código em bytecode para um arquivo .pyc .
• NXcrypt converte o arquivo .pyc em um arquivo .py normal.
• E desta forma podemos ofuscar o código
• O md5sum também mudará.

• Módulo de Injeção :

• ele injeta um arquivo Python malicioso em um arquivo normal com sistema de múltiplas threads .

Teste com Virustotal

Antes :

SHA256: e2acceb6158cf406669ab828d338982411a0e5c5876c2f2783e247b3e01c2163 Nome do arquivo: facebook.py Taxa de detecção: 2 / 54

Depois :

SHA256: 362a4b19d53d1a8f2b91491b47dba28923dfec2d90784961c46213bdadc80add Nome do arquivo: facebook_encrypted.py Taxa de detecção: 0 / 55

Créditos

Todos os créditos vão para a equipe Suspicious Shell Activity

Tutorial em Vídeo

https://www.youtube.com/watch?v=s8Krngv2z9Q