PE-Obfuscator

Обфускатор PE-файлов, ориентированный на обход защит (evasion); для загрузки драйвера RTCore64 требуются права администратора.

Видео:

https://user-images.githubusercontent.com/123980007/234171901-c1eb735e-ceca-481d-9310-02ba30f6836b.mp4

Обфускатор:

- Получает xored бесфайловый PE с удалённого сервера
- Сбрасывает загрузчик на диск 
- Добавляет случайную секцию в этот загрузчик
- Добавляет xored бесфайловый PE во вновь созданную секцию загрузчика

Загрузчик:

- Снять перехваты ntdll из known DLLs
- Сбросить RTCore64 на диск
- Загрузить/установить RTCore64
- Эксплуатировать RTCore64 для удаления kernel-колбэков
- Выполнить XOR над PE
- Маппить/загрузить PE из добавленной секции
- Затереть крупный модуль, вмещающий PE.

Благодарности:

https://br-sn.github.io/Removing-Kernel-Callbacks-Using-Signed-Drivers/
https://github.com/br-sn/CheekyBlinder
https://github.com/lawiet47/STFUEDR
https://papers.vx-underground.org/papers/Windows/Infection/2015-03-06%20-%20PE%20Infection%20-%20Add%20a%20PE%20section%20-%20with%20code.txt