项目介绍
助力每一位RT队员,快速生成免杀木马
https://github.com/wangfly-me/LoaderFly
开发需求
- 在HW/攻防演练等场景下需要快速生成免杀木马并且保证文件md5都不一样
- 节约时间,不用在项目上,投入专门的人员进行代码编写
- 高度可拓展和自定义
魔改二开
- 远程加载将Shellcode和loader分开,loader里面只保留Shellcode的URL地址,方便随时销毁。
- 加入Hex、Base64(自定义)加密算法,保留原本的流加密算法,以当前时间戳为key,进行对URL加密,将其保存在资源节中。
- 木马名称随机化,加上流加密算法,使得每次生成的木马md5都不一样。
- 加入了AES(外部传key)、Base64(自定义)、RC4(自定义)算法加密解密Shellcode。
- 高危Windows API,全部采用动态加载的方式,能够使用NT函数替换的全部进行了替换,部分模板的函数API进行了UnhookPatch。
- 针对卡巴斯基、Norton等对内存查杀较严的杀软,采取IAT Hook和VEH Hook对Beacon进行内存加密+配合C2profile的Sleep_mask选项和自定义通信方式基本无解。
- 针对Norton、360qvm等静态查杀较严的杀软,使用Arkari进行代码混淆。
- 增强完善了反沙箱、反调试
上线方式
x64位:
x32位:
使用方式
Step 1:加密Shellcode,选择Stagerless,生成RAW格式
Step 2:生成的beacon.bin放入程序目录下然后运行命令加密,AES key可以自定义(256bit)
encbin.exe bin文件 AES key
3、将P.bmp上传至云端生成链接,链接必须是访问后,自动下载那种。
4、URL填入,AES key填入,选择模板生成即可
免杀效果
卡巴斯基:
Norton:
启发式查杀很厉害,需要给木马加入正常程序的图标、版本信息、清单、数字签名。必须使用Bof操作,shell运行就掉线
ESET
自定义扫描了系统内存和桌面文件
QVM引擎(很疯狂,大部分时候真不是代码问题)需要做和Norton一样的处理
WDF(2016服务器版本)
运行后会提示你复查,不用管,依旧可以上线。
火绒+金山
McAfee
单个免杀效果
部分杀软需要添加白程序的签名、版权信息等,如Norton、360、Symantec
APC-Injetc+Ntdll
bypass:金山(数字签名)、火绒、ESET、360全家桶(物理机)、WDF(PC)、McAfee、卡巴企业版(时间5s 抖动50 Sleep_mask)
nobypass:WDF(服务器无法上线)、Norton(静态)
CreateRemoteThread+Syscall+Ntdll Inject
bypass:McAfee、火绒、金山(数字签名)、ESET、360全家桶(物理机)、WDF(PC)、卡巴企业版(时间5s 抖动50 Sleep_mask)
nobypass:Norton(静态)、WDF(服务器无法上线)
CreateThread-Inject+IAT Hook Inject
bypass:McAfee、金山(数字签名)、火绒、ESET、卡巴企业版(时间5s 抖动50 Sleep_mask)、360全家桶(物理机)、Norton(加白程序资源)、WDF(PC)、WDF(Server)、Symantec(加白程序资源)
nobypass:
CreateThreatPoolWait+VEH Hook
bypass:McAfee、金山(数字签名)、火绒、ESET、卡巴企业版(时间5s 抖动50 Sleep_mask)、360全家桶(物理机)、Norton(加白程序资源)、WDF(PC)、WDF(服务器)
nobypass:
Fiber+VEH Hook Load
bypass:金山(数字签名)、火绒、ESET、360全家桶(物理机)、WDF(PC)、WDF(服务器提示复查(关云保护))、McAfee、Norton(加白程序资源)、卡巴企业版(时间5s 抖动50 Sleep_mask)
nobypass:
NtTestAlert+VEH Hook Load
bypass:金山(数字签名)、火绒、ESET、卡巴企业版(时间5s 抖动50 Sleep_mask)、360全家桶(物理机)、WDF(PC)、WDF(服务器提示)、McAfee、Norton(加白程序资源)
nobypass:
Syscall+IAT Hook Load
bypass:金山(数字签名)、火绒、ESET、卡巴企业版(时间5s 抖动50 Sleep_mask)、360全家桶(物理机)、Norton(加白程序资源)、WDF(PC)、WDF(服务器)、McAfee
nobypass:
Callback+IAT Hook Load plus(x86)
bypass:360全家桶(物理机)、WDF(PC)、ESET、金山(数字签名)、火绒、WDF(服务器提)、McAfee、卡巴企业版
nobypass:Norton(静态)
memoryMapInjection+Syscall+Ntdll
bypass:360全家桶(物理机)、WDF(PC)、ESET、金山(数字签名)、火绒、WDF(服务器)、McAfee、卡巴企业版(时间5s 抖动50 Sleep_mask)
nobypass:Norton(静态),WDF(服务器)
Function+VEH Hook Load
bypass:卡巴企业版、ESET、McAfee、金山(数字签名)、火绒、360全家桶(物理机)(数字签名+版权信息+清单+图标(可有可无))、WDF(PC)、ESET
nobypass:Norton(静态)
下载地址
https://github.com/wangfly-me/LoaderFly
原文始发于微信公众号(七芒星实验室):【免杀手法】红队免杀木马快速生成
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论