HeaderLessPE

Введение (中文)

HeaderLessPE — это техника загрузки PE в память, используемая трояном Icedid. На основе этой технологии мы предлагаем новый способ бесфайловой атаки с использованием HVNC. Это усовершенствование позволяет внедрять HeaderLessPE для выполнения графических хакерских инструментов без ограничений. По сравнению с другими методами загрузки в память, такими как MemDll, расширенный HeaderLessPE имеет два преимущества:

• Избегает традиционных IOC заголовков DOS и PE
  Заголовки DOS и PE часто являются ключевыми точками для сканирования памяти, что требует использования файла Profile для стирания загруженного заголовка Beacon при использовании Cobalt Strike. С HeaderLessPE вам не нужно беспокоиться об этой проблеме.
• Поддерживает таблицы перемещений и импорта, что упрощает преобразование EXE в структуры HeaderLessPE
  Пока поддерживается перемещение и не включены такие структуры, как Tls и отложенный импорт, его можно преобразовать в HeaderLessPE. Это может использоваться не только для создания модулей памяти троянов, но и для удобного преобразования некоторых хакерских инструментов в HeaderLessPE для загрузки и выполнения в памяти, расширяя доступные инструменты атаки.

ТЕСТ