Veneficus Mini — Полная цепочка атаки вредоносного ПО 0day: Эксплуатация, LPE, Pivot, C2, Закрепление

Abraxas Labs — analyze · reverse · disclose

Полная цепочка атаки вредоносного ПО 0day: Эксплуатация, LPE, Pivot, C2, Закрепление
Публичный технический обзор · только псевдокод · не исполняемый
abraxaslabs.tech · @abraxas_null

Veneficus Mini — это Полная цепочка атаки вредоносного ПО 0day: Эксплуатация, LPE, Pivot, C2, Закрепление.

Этот репозиторий — документационный клон того набора для Windows x64 — набросок модульного агента, охватывающего всю цепочку: оценка хоста, сокрытие, пул помощников на подписанных драйверах (эксплуатация / LPE), боковое принуждение плюс ретранслятор через loopback (pivot), пограничная плоскость управления по HTTPS (C2) и постоянное присутствие через WMI / задачи / ключи Run (закрепление), а также сбор данных.

Каждый модуль здесь — псевдокод. Это не собираемый проект, не дроппер и не удобный для детектирования дамп приватного дерева.

Сохранено	Удалено / заменено псевдонимами
Название продукта Veneficus	Приватные имена функций, типы, переменные окружения
Публичные идентификаторы CVE	Названия продуктов вендоров, кодовые имена эксплойтов
Дизайн, включая дефекты	Имена файлов драйверов, пути устройств, управляющие коды
	Артефакты хоста, XOR-ключи, байты патчей, регулярные выражения
	Приватные строки путей ретранслятора

Идентификаторы в этом пакете — псевдонимы. Копия этих файлов не должна компилироваться в правило YARA, которое срабатывает на приватную реализацию.

Цепочка атаки

Этап	Что он охватывает в этом обзоре
Эксплуатация	Дроппер, пул помощников на подписанных драйверах, внутрипроцессные патчи
LPE	Примитивы уязвимых драйверов, отладочная привилегия, путь дампа, смежный с PPL
Pivot	Набросок принуждения аутентификации / ретрансляции, SOCKS-подобный прокси через loopback
C2	Пограничный ретранслятор HTTPS, запечатанные маяки, очередь задач оператора
Закрепление	Импульс WMI, задача при входе в систему, ключ Run для машины

Предполагаемый поток

Дроппер — успокоить движок скриптов, GET /payload, записать образ со случайным именем в пользовательский временный каталог, запустить его скрытно.
Оценка — проверки на отладчик / гипервизор / оборудование / простой / тайминги / исходящие соединения. Высокий → стереть и выйти. Средний → тихий режим (только карточка хоста). Низкий → полная работа.
Сокрытие — путь нативных вызовов (заглушка), перекрытие стека (импортировано, не используется), сокрытие в ядре (заглушка), внутрипроцессное сканирование скриптов и патчи телеметрии (намерение реально; байты опущены).
Пул драйверов — попытка использовать подписанные, но уязвимые образы ядра как помощник для завершения процессов. Требует прав администратора. Образы отсутствуют в этом репозитории.
Сбор — карточка хоста, логины браузера, дамп хранилища секретов ОС, подмена буфера обмена. Сбор cookie существует и никогда не вызывается.
Удержание — импульс WMI / задача при входе в систему / ключ Run для машины, ретранслятор через loopback, слушатель пустого представления, опрос управления с джиттером.

Статус модулей

Which modules are sketched as real, partial, or stub

Приватное дерево не завершено. Этот обзор намеренно оставляет дефекты видимыми.

Ссылки на CVE

Названия вендоров не раскрываются. Имена ролей — псевдонимы.

CVE	Роль в пуле	Примечание
CVE-2025-1055 / CVE-2025-52915	Сканер ядра AV	Управляющий код завершения процессов
CVE-2024-51324	Драйвер утилиты стороннего AV	Управляющий код завершения процессов
CVE-2025-7771	Драйвер настройки CPU	Реальный примитив — чтение/запись physmem, а не завершение по pid
CVE-2025-70795	Драйвер мониторинга процессов DLP	Управляющий код завершения процессов
CVE-2019-16098	Драйвер оверлея GPU	Виртуальное чтение/запись; в приватном дереве использовался неверный код
CVE-2025-33073	Клиент SMB (набросок бокового перемещения)	Упомянут, не реализован; мёртвый код

Пограничный ретранслятор

Публичные псевдонимы путей: /payload /inbox /queue /profile /ops /enroll /revoke /roster /profile/set.

Запечатанные блобы используют AES-256-GCM. Ключ канала выводится из идентификатора агента, заданного во время компиляции, без соли — обладание бинарником подразумевает обладание ключом. Воркер никогда не расшифровывает. Задачи передаются в открытом виде.

Дерево

Veneficus_Mini/
├── NOTICE.txt
├── project.toml
├── build_id.pseudo
├── notes/build.txt
├── dropper/stage.pseudo
├── relay/edge_relay.pseudo
├── driver_pool/          (empty)
├── helpers/              (empty)
└── src/
    ├── entry.pseudo
    ├── host_profile.pseudo
    ├── channel_crypto.pseudo
    ├── control.pseudo
    ├── driver_assist.pseudo
    ├── stay.pseudo
    ├── local_relay.pseudo
    ├── retire.pseudo
    ├── payload/
    ├── stealth/
    ├── backdoor/
    └── lateral/

Начните с Veneficus_Mini/src/entry.pseudo и Veneficus_Mini/NOTICE.txt.

Чем это не является

Не входные данные для компилятора. Файлы .pseudo не собираются.
Не приватное дерево. Нативные вызовы, сокрытие в ядре, скрытое представление и принуждение аутентификации — заглушки или мёртвый код в этом обзоре; сам набор — это Полная цепочка атаки вредоносного ПО 0day: Эксплуатация, LPE, Pivot, C2, Закрепление.
Не раскрытие уязвимостей помимо публичных идентификаторов CVE, перечисленных выше.

Для материалов, ориентированных на оператора, см. abraxaslabs.tech.

Популярное

veneficus-implant-public