Remote-BOF-Runner

Remote BOF Runner é um framework de extensão do Havoc para execução remota de Beacon Object Files (BOFs) usando um carregador PIC feito com Crystal Palace.

Comandos de Instalação

Arquitetura

Componentes

1. BOF Injector

O componente BOF é responsável por:

• Criar e suspender um processo dummy.
• Injetar o loader do Crystal Palace + o BOF alvo no processo dummy.
• Estabelecer um canal IPC (pipe nomeado) para comunicação de saída.
• Receber e agregar a saída da execução remota do BOF.

2. PIC Loader (Crystal Palace)

O loader PIC consiste em:

• Crystal Palace Loader: Gerencia alocação de memória, gerenciamento da seção BSS e inicialização segura do contexto de execução.
• Remote BOF Payload: O código real do BOF a ser executado (whoami, ipconfig, cacls, reg-query, etc.).
• Argument Marshalling: Argumentos serializados passados através do loader para execução remota do BOF.

Fluxo de Execução

Principais Funcionalidades

1. Isolamento de Processo

• A execução do BOF ocorre em um processo separado e isolado.
• Minimiza o impacto na estabilidade do processo beacon.
• Permite execução em contextos de processo arbitrários.

2. Encaminhamento de Saída via IPC

• Canal de comunicação baseado em pipe nomeado.
• Redirecionamento transparente de saída do BOF remoto.
• Manipulação de fragmentação de mensagens (buffer de acumulação de 8KB).
• Filtragem de delimitadores de protocolo.

3. Execução em Processos .NET

O caso de uso principal é executar BOFs em processos .NET nativos:

Por que o Carregamento Direto do CLR no Beacon é Arriscado: Carregar assemblies .NET diretamente no processo beacon é inerentemente inseguro e detectável:

• O processo beacon (geralmente um binário nativo como cmd.exe ou rundll32.exe) normalmente não inicia um CLR.
• Quando um CLR é carregado em um processo não .NET, dispara alertas imediatos de EDR/XDR.

Uma Solução Possível: Injeção em Processo .NET Nativo: Em vez de carregar o CLR no beacon, injetamos e executamos nosso BOF inline-execute-assembly em um processo que já é nativo .NET:

Esta abordagem aproveita o fato de que executar .NET dentro de um processo .NET é indistinguível do comportamento normal da aplicação.

4. Integração com Crystal Palace

• Execução de código independente de posição.
• Resolução dinâmica de API via buscas de funções baseadas em hash.
• Sem dependências de tabela de endereços de importação.
• Adequado para cenários de injeção profunda.

Modos de Execução

Execução Local

Execução em Host Remoto

Consultas ao Registro

Execução de Assembly .NET

Exemplo de Saída:

BOFs Disponíveis

• whoami - Exibe informações do usuário e grupo atuais (CS-Situational-Awareness-BOF).
• ipconfig - Mostra a configuração do adaptador de rede (CS-Situational-Awareness-BOF).
• cacls - Lista permissões de arquivo (CS-Situational-Awareness-BOF).
• reg-query - Consulta o Registro do Windows (CS-Situational-Awareness-BOF).
• execute-assembly - Carrega um assembly .NET no processo real (https://github.com/VoldeSec/PatchlessInlineExecute-Assembly).
• bof - Executa binários BOF personalizados.

Considerações de Segurança Operacional

⚠️ Importante: Este projeto é uma Prova de Conceito e NÃO prioriza OPSEC por padrão.

Modificações Recomendadas

Tanto o BOF Injector quanto o PIC Loader exigem endurecimento significativo para simulações de adversários:

Endurecimento do BOF Injector

• Implemente métodos personalizados de criação de processo (não CreateProcessW).
• Use técnicas de injeção alternativas além do padrão WriteProcessMemory.
• Ofusque a nomenclatura do pipe IPC (randomize identificadores).

Endurecimento do PIC Loader

• Criptografe o protocolo de comunicação (mensagens do pipe).
• Implemente evasão de regras YARA para assinaturas conhecidas.
• Adicione um método para evadir hooks de processo (syscalls indiretos, métodos de unhooking, etc.).
• Adicione um método de criptografia para armazenar o BOF alvo + Args.

Referências

• Crystal Palace
• LibIPC - Biblioteca compartilhada do Crystal Palace para comunicação entre processos, baseada em Named Pipes.
• PatchlessInlineExecute-Assembly - BOF InlineExecute-Assembly para carregar assembly .NET em processo, mas com bypass patchless de AMSI e ETW usando breakpoint de hardware.
• CS-Situational-Awareness-BOF - Comandos de Consciência Situacional implementados usando Beacon Object Files.

Aviso

Esta ferramenta é fornecida apenas para fins educacionais e de teste de segurança autorizados. O acesso não autorizado a sistemas de computador é ilegal. Os usuários são responsáveis por garantir a conformidade com todas as leis e regulamentos aplicáveis.