InvisibilityCloak

Набор инструментов для обфускации PoC (proof-of-concept) для инструментов пост-эксплуатации на C#. Этот инструмент выполняет следующие действия для проекта Visual Studio на C#:

• Изменение имени инструмента
• Изменение GUID проекта
• Обфускация совместимых строк в файлах исходного кода на основе метода обфускации, указанного пользователем
• Удаление однострочных комментариев (например, // это комментарий)
• Удаление опции строки PDB для скомпилированной сборки .NET в релизной конфигурации

Статья в блоге: https://securityintelligence.com/posts/invisibility-cloak-obfuscate-c-tools-evade-signature-based-detection

Строки-кандидаты, не подлежащие обфускации

Следующие строки-кандидаты не включаются в обфускацию:

• Строки длиной менее 3 символов
• Строки с интерполяцией (например, Console.WriteLine($"Hello, {name}! Today is {date.DayOfWeek}, it's {date:HH:mm} now.");)
• Операторы case, так как они должны быть статическими значениями
• Константные переменные, так как они должны быть статическими значениями
• Строки в сигнатурах методов, так как они должны быть статическими значениями
• Строка с " => ", используемая в операторе switch, которая должна быть статическим значением
• is в условном операторе при сравнении, так как сравниваемые значения должны быть статическими
• Строки внутри регулярных выражений
• Строки override, так как они должны быть статическими значениями
• Следующие редкие пограничные случаи для строк, так как они вызывали проблемы при кодировании/декодировании:
  • Строка, начинающаяся или заканчивающаяся символом '
  • ""' в строке
  • + @" в строке
  • """ в строке
  • "" в строке
  • Encoding.Unicode.GetString в строке
  • Encoding.Unicode.GetBytes в строке
  • Encoding.ASCII.GetBytes в строке
  • Строка, начинающаяся с " и заканчивающаяся на ")]. Обычно используется для параметров командной строки и должна быть статическим значением.

Информация о поддержке

• Windows
• Linux (системы на основе Debian)
• Python3

Аргументы/Параметры

• -d, --directory — каталог, в котором находится ваш проект Visual Studio
• -m, --method — метод обфускации (base64, rot13, reverse)
• -n, --name — имя вашего нового инструмента
• -h, --help — справка
• --version — версия инструмента

Использование/Примеры

Запуск InvisibilityCloak с обфускацией строк

Обфускация строк Base64

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m base64

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m base64

Обфускация строк ROT13

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m rot13

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m rot13

Обфускация строк методом Reverse (обратный порядок)

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m reverse

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m reverse

Запуск InvisibilityCloak без обфускации строк

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool"

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool"

Статистика обнаружения на основе сигнатур

В таблице ниже показана статистика обнаружения на основе сигнатур между необфусцированными и обфусцированными версиями 20 популярных публичных C#-инструментов с помощью InvisibilityCloak.

Это относится конкретно к Microsoft Defender (бесплатная версия) и актуально на 14 апреля 2022 года.

Инструмент	Ссылка	Необфусцировано	Обфусцировано с InvisibilityCloak
ADCSPwn	https://github.com/bats3c/ADCSPwn	Обнаружено	Не обнаружено
Certify	https://github.com/GhostPack/Certify	Обнаружено	Не обнаружено
Farmer	https://github.com/mdsecactivebreach/Farmer	Обнаружено	Не обнаружено
Rubeus	https://github.com/GhostPack/Rubeus	Обнаружено	Обнаружено
SafetyKatz	https://github.com/GhostPack/SafetyKatz	Обнаружено	Не обнаружено
Seatbelt	https://github.com/GhostPack/Seatbelt	Обнаружено	Не обнаружено
SharpClipboard	https://github.com/slyd0g/SharpClipboard	Не обнаружено	Не обнаружено
SharPersist	https://github.com/mandiant/SharPersist	Не обнаружено	Не обнаружено
SharpExec	https://github.com/anthemtotheego/SharpExec	Обнаружено	Не обнаружено
SharpGPOAbuse	https://github.com/FSecureLABS/SharpGPOAbuse	Обнаружено	Не обнаружено
SharpHound	https://github.com/BloodHoundAD/SharpHound	Не обнаружено	Не обнаружено
SharpLogger	https://github.com/djhohnstein/SharpLogger	Обнаружено	Не обнаружено
SharpMove	https://github.com/0xthirteen/SharpMove	Обнаружено	Не обнаружено
SharpRDP	https://github.com/0xthirteen/SharpRDP	Обнаружено	Обнаружено
SharpSecDump	https://github.com/G0ldenGunSec/SharpSecDump	Обнаружено	Не обнаружено
SharpUp	https://github.com/GhostPack/SharpUp	Не обнаружено	Не обнаружено
SharpView	https://github.com/tevora-threat/SharpView	Обнаружено	Не обнаружено
SharpWMI	https://github.com/GhostPack/SharpWMI	Обнаружено	Не обнаружено
StandIn	https://github.com/xforcered/StandIn	Обнаружено	Не обнаружено
WireTap	https://github.com/djhohnstein/WireTap	Не обнаружено	Не обнаружено

Статистика размеров скомпилированных C#-инструментов

В таблице ниже показаны размеры файлов 20 популярных публичных C#-инструментов между необфусцированными и обфусцированными версиями с использованием InvisibilityCloak с различными методами обфускации строк.