xeca

xeca é um projeto que cria payloads PowerShell criptografados para fins ofensivos.

Também é possível criar shellcode independente de posição a partir de arquivos DLL.

Nota: Coloque o seu bypass AMSI personalizado em src/assets/amsi-bypass.ps1.

Índice

• xeca
  • Instalação
  • Como Funciona
  • Mitigações
  • Exemplos
    • Covenant
    • Empire
    • Merlin
    • Sliver
  • Agradecimentos
  • Licença

Instalação

Primeiro, certifique-se de que o Rust está instalado e, em seguida, construa o projeto com o seguinte comando:

cargo build

Como Funciona

1. Identifique e criptografe o payload. Carregue o payload criptografado em um script PowerShell e salve em um arquivo chamado "launch.txt"
2. A chave para descriptografar o payload é salva em um arquivo chamado "safe.txt"
3. Execute "launch.txt" em um host remoto
   • O script chamará de volta o servidor web definido pelo atacante para recuperar a chave de descriptografia "safe.txt"
   • Descriptografe o payload na memória
   • Execute o payload pretendido na memória

Mitigações

Se os usuários precisam ter acesso a programas como powershell.exe, considere minimizar os riscos de segurança com Just Enough Administration e PowerShell Logging. Políticas de controle de aplicativos podem ser implementadas via uma tecnologia de lista de permissões como AppLocker.

Exemplos

Covenant

Covenant payload .NET assembly donut.

Empire

Empire payload PowerShell.

Merlin

Merlin payload DLL.

Sliver

Sliver payload Shellcode.

Agradecimentos

Esta ferramenta não seria possível sem o compartilhamento de conhecimento e informações. Ideias, trechos e códigos dos seguintes autores devem ser reconhecidos:
@monoxgas
@H0neyBadger
@TheWover
@stephenfewer
@dismantl
@tandasat
@cobbr

Licença

xeca é licenciado sob GPLv3, alguns subcomponentes podem ter licenças separadas. Consulte suas respectivas referências neste projeto para obter detalhes.