InvisibilityCloak

Набор инструментов для обфускации PoC (proof-of-concept) для инструментов пост-эксплуатации на C#. Этот инструмент выполняет следующие действия для проекта Visual Studio на C#:

• Изменение имени инструмента
• Изменение GUID проекта
• Обфускация совместимых строк в файлах исходного кода на основе метода обфускации, указанного пользователем
• Удаление однострочных комментариев (например, // это комментарий)
• Удаление опции строки PDB для скомпилированной сборки .NET в релизной конфигурации

Статья в блоге: https://securityintelligence.com/posts/invisibility-cloak-obfuscate-c-tools-evade-signature-based-detection

Строки-кандидаты, не подлежащие обфускации

Следующие строки-кандидаты не включаются в обфускацию:

• Строки длиной менее 3 символов
• Строки с интерполяцией (например, Console.WriteLine($"Hello, {name}! Today is {date.DayOfWeek}, it's {date:HH:mm} now.");)
• Операторы case, так как они должны быть статическими значениями
• Константные переменные, так как они должны быть статическими значениями
• Строки в сигнатурах методов, так как они должны быть статическими значениями
• Строка с " => ", используемая в операторе switch, которая должна быть статическим значением
• is в условном операторе при сравнении, так как сравниваемые значения должны быть статическими
• Строки внутри регулярных выражений
• Строки override, так как они должны быть статическими значениями
• Следующие редкие пограничные случаи для строк, так как они вызывали проблемы при кодировании/декодировании:
  • Строка, начинающаяся или заканчивающаяся символом '
  • ""' в строке
  • + @" в строке
  • """ в строке
  • "" в строке
  • Encoding.Unicode.GetString в строке
  • Encoding.Unicode.GetBytes в строке
  • Encoding.ASCII.GetBytes в строке
  • Строка, начинающаяся с " и заканчивающаяся на ")]. Обычно используется для параметров командной строки и должна быть статическим значением.

Информация о поддержке

• Windows
• Linux (системы на основе Debian)
• Python3

Аргументы/Параметры

• -d, --directory — каталог, в котором находится ваш проект Visual Studio
• -m, --method — метод обфускации (base64, rot13, reverse)
• -n, --name — имя вашего нового инструмента
• -h, --help — справка
• --version — версия инструмента

Использование/Примеры

Запуск InvisibilityCloak с обфускацией строк

Обфускация строк Base64

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m base64

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m base64

Обфускация строк ROT13

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m rot13

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m rot13

Обфускация строк методом Reverse (обратный порядок)

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m reverse

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m reverse

Запуск InvisibilityCloak без обфускации строк

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool"

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool"

Статистика обнаружения на основе сигнатур

В таблице ниже показана статистика обнаружения на основе сигнатур между необфусцированными и обфусцированными версиями 20 популярных публичных C#-инструментов с помощью InvisibilityCloak.

Это относится конкретно к Microsoft Defender (бесплатная версия) и актуально на 14 апреля 2022 года.

Статистика размеров скомпилированных C#-инструментов

В таблице ниже показаны размеры файлов 20 популярных публичных C#-инструментов между необфусцированными и обфусцированными версиями с использованием InvisibilityCloak с различными методами обфускации строк.

План развития

• Добавить поддержку C#-проектов с несколькими файлами проектов C# (многопроектные решения)
• Поддержка обфускации для имён переменных и имён методов