saadahla/pe-obfuscatorPE-обфускатор, ориентированный на обход обнаружения
Обфускатор PE-файлов, ориентированный на обход защит (evasion); для загрузки драйвера RTCore64 требуются права администратора.
- Получает xored бесфайловый PE с удалённого сервера
- Сбрасывает загрузчик на диск
- Добавляет случайную секцию в этот загрузчик
- Добавляет xored бесфайловый PE во вновь созданную секцию загрузчика
- Снять перехваты ntdll из known DLLs
- Сбросить RTCore64 на диск
- Загрузить/установить RTCore64
- Эксплуатировать RTCore64 для удаления kernel-колбэков
- Выполнить XOR над PE
- Маппить/загрузить PE из добавленной секции
- Затереть крупный модуль, вмещающий PE.