Введение

Amber — это позиционно-независимый (рефлексивный) загрузчик PE-файлов, который обеспечивает выполнение нативных PE-файлов (EXE, DLL, SYS...) в памяти. Он позволяет скрытно развертывать полезную нагрузку в памяти, что может использоваться для обхода антивирусов, межсетевых экранов, IDS, IPS и механизмов блокировки приложений по белому списку. Рефлексивные полезные нагрузки, созданные Amber, могут быть либо загружены с удаленного сервера, либо выполнены непосредственно в памяти, как обычный шелл-код. По умолчанию каждая сгенерированная полезная нагрузка кодируется с помощью нового поколения кодировщика SGN. Amber использует CRC32_API и IAT_API для незаметного разрешения адресов функций Windows API. После загрузки и выполнения PE-файла в памяти рефлексивная полезная нагрузка стирается для обхода сканеров памяти.

Установка

Предварительно скомпилированные бинарники можно найти в релизах.

Сборка из исходников

Единственная зависимость для сборки исходного кода — keystone engine. Следуйте этим инструкциям для установки библиотеки. После установки libkeystone в систему просто выполните go get ツ

go install github.com/EgeBalci/amber@latest

Установка через Docker

docker pull egee/amber
docker run -it egee/amber

Использование

В следующей таблице перечислены ключи, поддерживаемые Amber.

Пример использования

• Создать рефлексивную полезную нагрузку.

amber -f test.exe

• Создать рефлексивную полезную нагрузку с IAT API resolver и закодировать итоговую нагрузку 10 раз.

amber -e 10 --iat -f test.exe

Использование в Docker

docker run -it -v /tmp/:/tmp/ amber -f /tmp/file.exe

Демо

• NOPcon 2018 Демо
• Pentest.blog - Развертывание рефлексивных PE-файлов с помощью Metasploit
• Pentest.blog - Развертывание рефлексивного вымогателя POC