Инструмент для обхода антивирусов

AVET больше не развивается из-за технических ограничений и нехватки времени.

AVET — это инструмент для обхода антивирусов, разработанный для упрощения жизни пентестерам и для экспериментов с методами обхода антивирусов, а также другими методами, используемыми вредоносным ПО. Обзор новых функций в v2.4, а также предыдущих версий можно найти в файле CHANGELOG.

Содержание

• Установка

• Docker

• AVET простой способ

• AVET обычный способ

• Документация (нажмите, чтобы развернуть)

  • Методы получения данных
  • Шифрование и кодирование
  • Обход песочницы
  • Выполнение дополнительных команд
  • Вспомогательные инструменты
  • AVET и metasploit psexec
  • Состязательные примеры

• Подробнее

Некоторые возможности

• при запуске .exe файла, созданного с помощью msfpayload и т.п., файл часто распознается антивирусным ПО
• AVET — это инструмент для обхода антивирусов, нацеленный на машины с Windows и исполняемые файлы
• теперь можно использовать различные типы входных полезных нагрузок: shellcode, exe и dll
• доступно больше техник: инъекция shellcode/dll, процесс-холлоуинг и другие
• гибкие методы получения полезной нагрузки, ключа дешифрования и т.д.
• использование в качестве дроппера
• объединение нескольких итераций AVET позволяет добавлять несколько уровней обхода, если необходимо
• комбинация техник: загрузите зашифрованную полезную нагрузку через powershell, укажите ключ дешифрования через аргумент командной строки во время выполнения и, наконец, внедрите полезную нагрузку в другой процесс, выбирая из нескольких техник
• базовые проверки песочницы
• генерация состязательных примеров против статических детекторов на основе машинного обучения
• выполнение всех доступных сборочных скриптов с помощью build_script_tester.py, также может быть интересно исследователям для создания набора «вредоносных» образцов с использованием различных методов обхода и инъекций

Важное замечание

Не все техники обходят каждый антивирусный движок. Если одна техника или сборочный скрипт не работают, попробуйте другую. Не стесняйтесь экспериментировать! В конце концов, это набор инструментов — но молотом всё же нужно владеть самому.

Установка

Инструкция по установке предназначена для Kali 64bit и tdm-gcc!

Вы можете использовать скрипт установки:```bash ./setup.sh

Это должно автоматически помочь вам начать, установив/настроив wine и установив tdm-gcc.
Вам вскоре придётся пройти через графический интерфейс установщика tdm-gcc — стандартные настройки должны подойти.
Скрипт также спросит, хотите ли вы установить зависимости AVET, которые необходимы для использования некоторых сборочных скриптов. Загруженные зависимости будут помещены в отдельные папки рядом с папкой avet.

Зависимости загрузят последние версии:
- [pe_to_shellcode](https://github.com/hasherezade/pe_to_shellcode)
- [mimikatz](https://github.com/gentilkiwi/mimikatz)
- [DKMC](https://github.com/Mr-Un1k0d3r/DKMC)

Если по какой-либо причине вы хотите установить wine и tdm-gcc вручную:
- [Как установить tdm-gcc с помощью wine](https://govolution.wordpress.com/2017/02/04/using-tdm-gcc-with-kali-2/)

## Docker

Если вы не используете Kali или не хотите устанавливать Metasploit на свою систему, вы можете вместо этого использовать Docker-контейнер.
Контейнер содержит Metasploit и avet, а примеры будут созданы в вашей текущей директории.
Также можно использовать графический текстовый редактор, например gedit.

Сборка контейнера:```bash
sudo docker build -t avet:v0.1 .

Использование:```bash sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet:v0.1 /bin/bash

Для лучшего опыта рекомендуется создать алиас для этого.```bash
# In your .bash_profile, .bashrc or .bash_aliases

alias avet='sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet /bin/bash'

AVET легким путем

avet.py — это небольшая утилита на Python, предназначенная для упрощения работы с инструментом.

Она выводит список всех скриптов, находящихся в папке build. После выбора одного из них вы сможете построчно пройти по скрипту, имея возможность изменять содержимое на лету.

Последнее особенно полезно, так как вы можете каждый раз задавать новые переменные LHOST и LPORT для msfvenom при запуске скрипта сборки через fabric. Вы можете задать значения LHOST и LPORT по умолчанию в файле /build/global_connect_config.sh, которые будут использоваться, если вы их не переопределите.

Эти изменения временны, то есть любые внесённые вами правки не сохраняются в скрипте сборки на диске. Изменённая версия выполняется один раз, и ваш исполняемый файл собирается.

                   .|        ,       +
         *         | |      ((             *
                   |'|       `    ._____
     +     ___    |  |   *        |.   |' .---"|
   _    .-'   '-. |  |     .--'|  ||   | _|    |
.-'|  _.|  |    ||   '-__  |   |  |    ||      |
|' | |.    |    ||       | |   |  |    ||      |