InvisibilityCloak

面向C#后渗透工具的混淆工具概念验证。它将针对C# Visual Studio项目执行以下操作。

• 修改工具名称
• 修改项目GUID
• 根据用户输入的混淆方法，对源代码文件中的兼容字符串进行混淆
• 移除单行注释（例如：// this is a comment）
• 移除编译后的发布版.NET程序集的PDB字符串选项

博客文章: https://securityintelligence.com/posts/invisibility-cloak-obfuscate-c-tools-evade-signature-based-detection

不进行混淆的字符串候选

以下字符串候选不参与混淆

• 长度小于3个字符的字符串
• 使用字符串插值的字符串（例如：Console.WriteLine($"Hello, {name}! Today is {date.DayOfWeek}, it's {date:HH:mm} now.");）
• case语句，因为它们需要是静态值
• 常量变量，因为它们需要是静态值
• 方法签名中的字符串，因为它们需要是静态值
• 包含" => "的行，用于switch语句，需要是静态值
• 在if语句中进行比较时使用的is，因为比较的值必须是静态的
• 正则表达式中的字符串
• 重写字符串，因为它们需要是静态值
• 以下随机的字符串边缘情况，因为它们曾在编码/解码时引发问题
  • 以'开头或结尾的字符串
  • 行中包含""'
  • 行中包含+ @"
  • 行中包含"""
  • 行中包含""
  • 行中包含Encoding.Unicode.GetString
  • 行中包含Encoding.Unicode.GetBytes
  • 行中包含Encoding.ASCII.GetBytes
  • 以"开头、以")]结尾的行。这通常用于命令行开关，需要是静态值。

支持信息

• Windows
• Linux（基于Debian的系统）
• Python3

参数/选项

• -d, --directory - Visual Studio项目所在的目录
• -m, --method - 混淆方法 (base64, rot13, reverse)
• -n, --name - 新工具的名称
• -h, --help - 帮助菜单
• --version - 获取工具版本

用法/示例

运行InvisibilityCloak并启用字符串混淆

Base64字符串混淆

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m base64

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m base64

ROT13字符串混淆

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m rot13

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m rot13

反向字符串混淆

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool" -m reverse

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool" -m reverse

运行InvisibilityCloak但不进行字符串混淆

python InvisibilityCloak.py -d /path/to/project -n "TotallyLegitTool"

python InvisibilityCloak.py -d C:\path\to\project -n "TotallyLegitTool"

基于签名的检测统计信息

下表显示了使用InvisibilityCloak对20个流行的公共C#工具进行混淆前后的基于签名的检测统计。

此数据专门针对Microsoft Defender（免费版），截至2022年4月14日准确。

编译后的C#工具大小统计

下表展示了20个流行的公共C#工具在使用InvisibilityCloak进行不同字符串混淆方法前后的文件大小。

未来规划

• 增加对包含多个C#项目文件（多项目解决方案）的C#项目的支持
• 变量名和方法名的混淆支持