gftrace

Инструмент командной строки для трассировки Windows API в Golang-бинарниках.

Примечание: Этот инструмент является PoC и прототипом в разработке, поэтому относитесь к нему соответственно. Обратная связь всегда приветствуется!

Как это работает?

Хотя программы на Golang содержат много нюансов, связанных с их сборкой и поведением во время выполнения, они всё равно должны взаимодействовать с уровнем ОС, а это означает, что в какой-то момент им необходимо вызывать функции Windows API.

Пакет runtime в Go содержит функцию asmstdcall, и эта функция является своего рода «шлюзом» для взаимодействия с Windows API. Поскольку ожидается, что эта функция будет вызывать функции Windows API, можно предположить, что она должна иметь доступ к такой информации, как адрес функции и её параметры, и здесь всё становится интереснее.

Asmstdcall получает единственный параметр — указатель на структуру, подобную следующей:

struct LIBCALL {
	DWORD_PTR Addr;
	DWORD Argc;
	DWORD_PTR Argv;
	DWORD_PTR ReturnValue;
	
	[...]
}

Некоторые из этих полей заполняются после вызова API-функции (например, возвращаемое значение), другие передаются в asmstdcall (например, адрес функции, количество аргументов и список аргументов). В любом случае, когда они установлены, становится ясно, что функция asmstdcall манипулирует большим количеством интересной информации, касающейся выполнения программ, скомпилированных на Golang.

gftrace использует asmstdcall и принцип её работы для мониторинга определённых полей упомянутой структуры и вывода информации пользователю. Инструмент способен логировать имя функции, её параметры, а также возвращаемое значение каждой Windows-функции, вызванной Golang-приложением. Всё это без необходимости хукать какую-либо отдельную API-функцию или иметь её сигнатуру.

Инструмент также пытается игнорировать весь шум от инициализации рантайма Go и логирует только функции, вызванные после неё (т.е. функции из основного пакета).

Если вы хотите узнать больше об этом проекте и исследовании, ознакомьтесь с блогпостом.

Установка

Скачайте последний релиз.

Использование

1. Убедитесь, что gftrace.exe, gftrace.dll и gftrace.cfg находятся в одной директории.
2. Укажите, какие функции API вы хотите трассировать в файле gftrace.cfg (инструмент не работает без применения фильтров API).
3. Запустите gftrace.exe, передав путь к целевой Golang-программе в качестве параметра.

gftrace.exe <filepath> <params>

Конфигурация

Всё, что вам нужно сделать, — указать в файле gftrace.cfg функции, которые вы хотите трассировать, разделяя их запятыми без пробелов:

CreateFileW,ReadFile,CreateProcessW

Какие именно функции Windows API будет вызывать метод X из пакета Y в определённом сценарии, можно определить только путём анализа самого метода или попытки угадать. Существуют некоторые интересные характеристики, которые можно использовать для этого. Например, Golang-приложения, похоже, всегда предпочитают вызывать функции из наборов «Wide» и «Ex» (например, CreateFileW, CreateProcessW, GetComputerNameExW и т.д.), так что вы можете учитывать это при анализе.

Файл конфигурации по умолчанию содержит множество функций, которые я уже тестировал (по крайней мере, большинство из них), и могу с уверенностью сказать, что они могут быть вызваны Golang-приложением в какой-то момент. Я постараюсь обновлять его время от времени.

Примеры

Трассировка CreateFileW() и ReadFile() в простом Golang-файле, который дважды вызывает "os.ReadFile":

- CreateFileW("C:\Users\user\Desktop\doc.txt", 0x80000000, 0x3, 0x0, 0x3, 0x1, 0x0) = 0x168 (360)
- ReadFile(0x168, 0xc000108000, 0x200, 0xc000075d64, 0x0) = 0x1 (1)
- CreateFileW("C:\Users\user\Desktop\doc2.txt", 0x80000000, 0x3, 0x0, 0x3, 0x1, 0x0) = 0x168 (360)
- ReadFile(0x168, 0xc000108200, 0x200, 0xc000075d64, 0x0) = 0x1 (1)

Трассировка CreateProcessW() в вредоносном ПО TunnelFish:

- CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress |  ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000ace98, 0xc0000acd68) = 0x1 (1)
- CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress |  ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000c4ec8, 0xc0000c4d98) = 0x1 (1)
- CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress |  ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc00005eec8, 0xc00005ed98) = 0x1 (1)
- CreateProcessW("C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe", "powershell /c "Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn; Get-Recipient | Select Name -ExpandProperty EmailAddresses -first 1 | Select SmtpAddress |  ft -hidetableheaders"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000bce98, 0xc0000bcd68) = 0x1 (1)
- CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000c4ef0, 0xc0000c4dc0) = 0x1 (1)
- CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000acec0, 0xc0000acd90) = 0x1 (1)
- CreateProcessW("C:\WINDOWS\system32\cmd.exe", "cmd /c "wmic computersystem get domain"", 0x0, 0x0, 0x1, 0x80400, "=C:=C:\Users\user\Desktop", 0x0, 0xc0000bcec0, 0xc0000bcd90) = 0x1 (1)

[...]

Трассировка нескольких функций в вредоносном ПО Sunshuttle:

- CreateFileW("config.dat.tmp", 0x80000000, 0x3, 0x0, 0x3, 0x1, 0x0) = 0xffffffffffffffff (-1)
- CreateFileW("config.dat.tmp", 0xc0000000, 0x3, 0x0, 0x2, 0x80, 0x0) = 0x198 (408)
- CreateFileW("config.dat.tmp", 0xc0000000, 0x3, 0x0, 0x3, 0x80, 0x0) = 0x1a4 (420)
- WriteFile(0x1a4, 0xc000112780, 0xeb, 0xc0000c79d4, 0x0) = 0x1 (1)
- GetAddrInfoW("reyweb.com", 0x0, 0xc000031f18, 0xc000031e88) = 0x0 (0)
- WSASocketW(0x2, 0x1, 0x0, 0x0, 0x0, 0x81) = 0x1f0 (496)
- WSASend(0x1f0, 0xc00004f038, 0x1, 0xc00004f020, 0x0, 0xc00004eff0, 0x0) = 0x0 (0)
- WSARecv(0x1f0, 0xc00004ef60, 0x1, 0xc00004ef48, 0xc00004efd0, 0xc00004ef18, 0x0) = 0xffffffff (-1)
- GetAddrInfoW("reyweb.com", 0x0, 0xc000031f18, 0xc000031e88) = 0x0 (0)
- WSASocketW(0x2, 0x1, 0x0, 0x0, 0x0, 0x81) = 0x200 (512)
- WSASend(0x200, 0xc00004f2b8, 0x1, 0xc00004f2a0, 0x0, 0xc00004f270, 0x0) = 0x0 (0)
- WSARecv(0x200, 0xc00004f1e0, 0x1, 0xc00004f1c8, 0xc00004f250, 0xc00004f198, 0x0) = 0xffffffff (-1)

[...]

Трассировка нескольких функций в агенте фреймворка DeimosC2: