xeca

xeca — это проект, который создает зашифрованные полезные нагрузки PowerShell для атакующих целей.

Также возможно создание позиционно-независимого шелл-кода из DLL-файлов.

Примечание: Пожалуйста, поместите ваш собственный обход AMSI в src/assets/amsi-bypass.ps1.

Table of Contents

• xeca
  • Установка
  • Как это работает
  • Снижение рисков
  • Примеры
    • Covenant
    • Empire
    • Merlin
    • Sliver
  • Благодарности
  • Лицензия

Установка

Сначала убедитесь, что Rust установлен, затем соберите проект с помощью следующей команды:

cargo build

Как это работает

1. Определите и зашифруйте полезную нагрузку. Загрузите зашифрованную полезную нагрузку в скрипт PowerShell и сохраните в файл с именем "launch.txt"
2. Ключ для расшифровки полезной нагрузки сохраняется в файл с именем "safe.txt"
3. Выполните "launch.txt" на удаленном хосте
   • Скрипт обратится к веб-серверу, определенному атакующим, чтобы получить ключ расшифровки "safe.txt"
   • Расшифруйте полезную нагрузку в памяти
   • Выполните целевую полезную нагрузку в памяти

Снижение рисков

Если пользователям необходим доступ к таким программам, как powershell.exe, рассмотрите возможность минимизации рисков безопасности с помощью Just Enough Administration и PowerShell Logging. Политики контроля приложений могут быть развернуты с помощью технологии белых списков, такой как AppLocker.

Примеры

Covenant

Covenant полезная нагрузка .NET assembly donut.

Empire

Empire полезная нагрузка PowerShell.

Merlin

Merlin полезная нагрузка DLL.

Sliver

Sliver полезная нагрузка Shellcode.

Благодарности

Этот инструмент был бы невозможен без обмена знаниями и информацией. Следует отметить идеи, фрагменты и код от следующих авторов:
@monoxgas
@H0neyBadger
@TheWover
@stephenfewer
@dismantl
@tandasat
@cobbr

Лицензия

xeca лицензирован под GPLv3, некоторые подкомпоненты могут иметь отдельные лицензии. Смотрите соответствующие ссылки в этом проекте для подробностей.