DarkWidow

一款面向 Windows 的可定制投递工具。

特别鸣谢：

非常感谢 Soumyadeep Da 即 @SoumyadeepBas12 鼓励我申请这些会议，否则我不会这么做 :)
非常感谢 Faran 即 @Chrollo_l33t 帮助我制作此工具的演讲幻灯片和 PPT :)

功能：

间接动态系统调用。（MITRE ATT&CK TTP：T1106）
通过修改版 TartarusGate 方法对 SSN + 系统调用地址进行排序
通过 APC Early Bird 进行远程进程注入，以切断 EDR 的遥测捕获。（MITRE ATT&CK TTP：T1055.004）
生成一个牺牲进程作为目标进程，不干扰环境中已打开的进程。
对生成的牺牲进程启用 ACG（任意代码保护）/BlockDll 缓解策略。
PPID 欺骗（MITRE ATT&CK TTP：T1134.004）
从 TIB 解析 API 和 DLL（直接通过偏移（从 TIB）-> TEB -> PEB -> 解析 Nt API）（MITRE ATT&CK TTP：T1106）
受诅咒的 Nt API 哈希（MITRE ATT&CK ID：S0574）

额外福利：如果拥有管理员权限 =>

通过杀死 EventLog 服务线程来禁用事件日志（MITRE ATT&CK TTP：T1562.002）

缺点：如果线程恢复，事件日志挂起期间发生的所有事件会再次被记录！

所以，决定直接杀死它们！

“这比挂起更具侵入性，但决定权始终在操作者手中。此外，杀死线程会在内核层面被记录。” - @SEKTOR7net

在间接系统调用植入中仅杀死这些线程时，遇到了一个错误。我无法获取 “eventlog” 的 SubProcessTag 值。所以决定杀死所有线程，即杀死整个进程（负责的 svchost.exe）。是的，这产生了一个 IOC！。

=

1. EDR/Ring-3/用户态钩子绕过

2. 系统调用和返回语句从 ntdll.dll 的内存中执行

3. 基于调用栈中返回地址检查的 EDR 检测可以被绕过。

编译：

直接通过 VS 编译器：

还要添加 /MT 编译器标志！=> 将 CRT 函数静态链接到二进制文件中（是的，你猜对了，这会使植入体臃肿）

也可以通过 compile.bat（推荐选项 1）

./compile.bat

使用方法：

PS C:> .\x64\Release\indirect.exe
[!] 错误！
[->] 语法：.\x64\Release\indirect.exe <要欺骗的PPID>

运行效果：

https://github.com/reveng007/DarkWidow/assets/61424547/62a90c5b-84af-4389-8ddc-9f7926debdcf

在 Sofos XDR 端点上成功执行且未产生告警：

SofosXDREvade

进一步改进：

PPID 欺骗（Emotet 方法）
更隐蔽 的事件日志禁用使用场景！

部分代码及提供帮助的链接：

TIB：
- https://en.wikipedia.org/wiki/Win32_Thread_Information_Block
- https://www.wikiwand.com/en/Win32_Thread_Information_Block
GS 和 FS 寄存器：
- https://stackoverflow.com/questions/39137043/what-is-the-gs-register-used-for-on-windows
- https://stackoverflow.com/questions/10810203/what-is-the-fs-gs-register-intended-for#:~:text=The%20registers%20FS%20and%20GS,to%20access%20thread%2Dspecific%20memory.
PEB LDR 结构：
- BlackHat - 恶意软件作者不想让你知道的事 - 隐避的空进程注入作者 @monnappa22
- 来自上述链接的进程内存图片：
- 来自 labs.cognisys.group，作者 @D1rkMtr 的博客：
TIB -> TEB -> PEB -> 解析 Nt API 和 API 哈希


#include <stdint.h>
#include <stdio.h>
#include <Windows.h>

DWORD64 djb2(const char* str)
{
	DWORD64 dwHash = 0x7734773477347734;
	int c;

	while (c = *str++)
		dwHash = ((dwHash << 0x5) + dwHash) + c;


	return dwHash;
}

int main(int argc, char** argv)
{
	if (argc < 2)
	{
		printf("[!] Wrong!\n");
		printf("[->] Syntax: .\\%s <NTFuncName>\n\n", argv[0]);
		return 1;
	}

	const char* string = argv[1];

	DWORD64 hashvalue = djb2(string);

	printf("Hash Value: 0x%llX\n", hashvalue);

	return 0;
}

ACG（任意代码保护）/BlockDll 缓解策略：
- 链接：
- 保护你的恶意软件作者 @xpn
- Wraith 作者 @winterknife
- spawn 和 HOLLOW 作者 @0xBoku
PPID 欺骗检测：
- PPID 欺骗检测作者 @spotheplanet
- 如果有时间，我会在此部分添加检测内容！-> [剩余..............................................!]
Moneta 检测和 PESieve 检测：\
- Moneta：
- PESieve：
Capa 扫描：
植入进程的线程栈外观：

植入进程	合法 Cmd 进程

由此可知，通过在间接系统调用 POC 的 ntdll.dll 内存中执行返回指令，可以成功欺骗返回地址，使 ntdll.dll 位于调用栈顶部，EDR 会认为其合法性更高。 - @VirtualAllocEx 来自 DirectSyscall Vs Indirect Syscall
同时感谢 @peterwintrsmith！

指令回调规避：使用了这个 POC - syscall-detect 作者 winternl_t

我使用的事件日志配置：

alt text

设置 SeDebugPrivilege：
从这里：到这里：
杀死事件日志线程：
- rto-win-evasion 作者 @SEKTOR7net
- Phant0m 作者 @hlldz
- Goblin 作者 @winterknife
- 通过挂起事件日志服务线程来禁用 Windows 事件日志作者 @spotheplanet
  从这里：
  
  到这里：
- 该方法在间接系统调用实现中导致错误。所以我最终杀死了负责的 svchost.exe 中的所有线程（原因：向上查看）。