blenny

Blenny — это инструмент обфускации полезной нагрузки уровня proof-of-concept для Windows, который скрывает данные исполняемой полезной нагрузки внутри значка исполняемого файла. Он назван в честь саблезубой собачки, которая подражает поведению и внешнему виду рыбы-чистильщика, чтобы охотиться на ничего не подозревающих рыб.

Зачем?

Я уже не вспомню точно, как развивалась эта история, но хакер по имени retr0id (@DavidBuchanan314) предложил идею прятать полезную нагрузку внутри значка исполняемого файла. Из-за различных особенностей PNG-файлов — а также потому, что файлы значков Windows могут содержать внутри данные PNG — я понял, что смогу реализовать эту идею довольно легко, просто потребуется немного усилий. Именно для этого я создал библиотеку Facade — библиотеку, предназначенную специально для генерации полезных нагрузок в PNG-файлах.

Конечный результат — это компактный файл полезной нагрузки и система сборки, которые можно использовать для настройки базовой полезной нагрузки дроппера/исполнителя для Windows.

Получение

Blenny использует библиотеку Facade для создания полезных нагрузок из файлов значков, поэтому при получении репозитория необходимо инициализировать подмодуль (и его подмодули):

$ git clone https://github.com/frank2/blenny.git
$ cd blenny
$ git submodule update --init --recursive

Этого должно быть достаточно для инициализации репозитория перед сборкой.

Сборка

Этот проект буквально создавался с расчётом на CMake, поэтому перед сборкой этого проекта абсолютно необходимо установить CMake. Скорее всего, без него ничего не заработает (если только вы действительно не настроены вручную задавать все определения CMake самостоятельно). Также вам понадобится копия Visual Studio для компиляции проекта.

Этот проект использует множество переменных CMake для настройки процесса сборки. Чтобы получить базовую демонстрационную полезную нагрузку, в результате которой на вашем рабочем столе появится милый друг-овечка, выполните следующее в главном каталоге проекта:

$ mkdir build
$ cd build
$ cmake -D BLENNY_ZTEXT_PAYLOAD=ON ../
$ cmake --build ./ --config Release
$ ./Release/blenny.exe

По умолчанию этот процесс извлекает исполняемый файл с именем «blenny.exe» из значка исполняемого файла во временный каталог текущего пользователя, а затем запускает его. Полезная нагрузка по умолчанию — это DesktopPet от @AdrianoTiger, специальная пересборка классического esheep.exe из 90-х.

Все переменные, которые обеспечивают это, настраиваются! Должна быть задана одна переменная полезной нагрузки (BLENNY_TRAILING_PAYLOAD, BLENNY_TEXT_PAYLOAD, BLENNY_ZTEXT_PAYLOAD или BLENNY_STEGO_PAYLOAD). Она управляет тем, как полезная нагрузка в конечном итоге помещается в значок. Подробнее об этих методах см. в библиотеке Facade. Например, чтобы использовать собственную полезную нагрузку, сделайте следующее:

$ cmake -D BLENNY_PAYLOAD_FILE="path/to/your/payload.exe" -D BLENNY_ZTEXT_PAYLOAD=ON ../
$ cmake --build ./ --config Release

Вот таблица всех различных параметров конфигурации, которые можно задать, их значения по умолчанию и назначение.