AceLdr - Evitando Scanners de Memória

Um carregador reflexivo independente de posição para Cobalt Strike. Zero resultados de Hunt-Sleeping-Beacons, BeaconHunter, BeaconEye, Patriot, Moneta, PE-sieve ou MalMemDetect.

Recursos

Fácil de Usar

Importe um único script CNA antes de gerar shellcode.

Criptografia Dinâmica de Memória

Cria um novo heap para quaisquer alocações do Beacon e criptografa as entradas antes do sleep.

Ofuscação e Criptografia de Código

Altera a memória contendo código executável do CS para não executável e a criptografa (FOLIAGE).

Spoofing de Endereço de Retorno na Execução

Certas chamadas WinAPI são executadas com um endereço de retorno falsificado (InternetConnectA, NtWaitForSingleObject, RtlAllocateHeap).

Sleep Sem Sleep

Execução atrasada usando WaitForSingleObjectEx.

Criptografia RC4

Toda criptografia realizada com SystemFunction032.

Problemas Conhecidos

• Não compatível com loaders que dependem da thread do shellcode permanecer ativa.

Referências

Este projeto não teria sido possível sem os seguintes:

• FOLIAGE
• spoofing de endereço de retorno x64 (fonte + explicação)

Outros recursos e inspiração foram tirados dos seguintes:

• https://www.arashparsa.com/bypassing-pesieve-and-moneta-the-easiest-way-i-could-find/
• https://github.com/secidiot/TitanLdr
• https://github.com/JLospinoso/gargoyle
• https://www.forrest-orr.net/post/masking-malicious-memory-artifacts-part-ii-insights-from-moneta
• https://www.arashparsa.com/hook-heaps-and-live-free/
• https://blog.f-secure.com/hunting-for-gargoyle-memory-scanning-evasion/
• https://www.elastic.co/blog/detecting-cobalt-strike-with-memory-signatures