搜索

[1126] 2020-10-01_[翻译]构建混淆器以逃避WindowsDefender

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2020-10-01_[翻译]构建混淆器以逃避WindowsDefender [ 翻 译 ] 构 建 混 淆 器 以 逃 避 W i n d o w s   D e f e n d e r S a m u e l   W o n g   C h a B u g   2 0 2 0 - 1 0 - 0 1 原 文 来 自 ： S a m u e l   W o n g   翻 译 @ Y 4 e r 原 文 链 接 ： h t t p s : / / w w w . x a n t h u s . i o / p o s t / b u i l d i n g - a n - o b f u s c a t o r - t o - e v a d e - w i n d o w s - d e f e n d e r 介 绍 在 W i n d o w s 企 业 环 境 中 工 作 的 任 何 R e d t e a m 最 终 都 将 不 得 不 与 W i n d o w s   D e f e n d e r 及 其 具 有 反 恶 意 软 件 功 能 的 A M S I 交 叉 。 对 于 操 作 员 而 言 ， 在 接 合 过 程 中 无 法 落 地 合 适 的 工 具 可 能 会 非 常 令 人 沮 丧 ， 也 可 能 是 倾 倒 哈 希 值 或 一 无 所 获 之 间 的 区 别 。 在 这 篇 文 章 中 ， 我 们 将 分 析 可 能 用 于 逃 避 防 御 者 检 测 的 技 术 。 R e f r e s h e r 在 跳 入 逃 避 技 术 之 前 ， 了 解 反 病 毒 引 擎 如 何 在 后 台 工 作 很 重 要 。 现 代 分 析 通 常 分 为 两 大 类 ： 静 态 分 析 静 态 分 析 - 在 运 行 时 对 可 执 行 文 件 的 内 容 进 行 审 核 ， 这 通 常 涉 及 在 文 件 中 搜 索 恶 意 签 名 。 它 对 未 修 改 / 开 箱 即 用 的 恶 意 软 件 有 效 。 动 态 分 析 动 态 分 析 - 在 运 行 时 对 可 执 行 文 件 的 行 为 进 行 审 核 ， 可 以 分 析 从 程 序 内 存 到 程 序 集 调 用 的 s y s c a l l 的 所 有 内 容 ， 以 了 解 已 知 的 恶 意 行 为 。
绕 过 D e f e n d e r 签 名 当 前 ， 绕 过 静 态 分 析 及 其 签 名 扫 描 的 最 佳 技 术 之 一 就 是 简 单 地 修 改 恶 意 签 名 。 您 可 以 使 用 多 种 方 法 来 找 到 上 述 签 名 ， M a t t   G r a e b e r 发 布 了 一 个   p o w e r s h e l l 脚 本   h t t p s : / / g i s t . g i t h u b . c o m / m a t t i f e s t a t i o n / 3 a f 5 a 4 7 2 e 1 1 b 7 e 1 3 5 2 7 3 e 7 1 c b 5 f e d 8 6 6   来 解 压 缩 防 御 者 A V 签 名 数 据 库 ， 以 便 对 其 进 行 查 询 。   您 可 以 使 用   W i n i t o r   h t t p s : / / w w w . w i n i t o r . c o m /   之 类 的 恶 意 软 件 评 估 软 件 并 对 其 指 标 进 行 现 场 修 改 还 有 一 个 名 为 D e f e n d e r C h e c k   h t t p s : / / g i t h u b . c o m / m a t t e r p r e t e r / D e f e n d e r C h e c k   的 便 捷 工 具 ， 该 工 具 可 以 自 动 完 成 二 进 制 文 件 的 拆 分 过 程 ， 并 利 用 防 御 程 序 本 身 进 行 扫 描 ， 直 到 精 确 确 定 触 发 签 名 为 止 。 虽 然 这 些 都 是 本 文 的 绝 佳 技 术 ， 但 我 们 将 构 建 自 定 义 混 淆 器 ， 使 用 混 淆 器 将 为 我 们 带 来 一 些 好 处 。 首 先 ， 您 不 需 要 混 淆 源 代 码 ， 只 需 要 二 进 制 文 件 。 其 次 ， 这 是 节 省 时 间 ， 一 旦 构 建 了 混 淆 器 ， 您 就 不 必 花 费 时 间 来 修 改 武 器 库 中 每 个 工 具 的 每 个 单 独 的 签 名 。 有 趣 的 是 ， 混 淆 器 的 主 要 目 的 实 际 上 是 为 了 防 止 恶 意 活 动 ， 软 件 开 发 人 员 将 使 用 这 些 工 具 来 保 护 其 代 码 免 受 逆 向 工 程 。
我 们 将 专 注 于 为 . N E T 或 更 具 体 地 说 是 通 用 中 间 语 言 （ C I L ） 构 建 混 淆 器 。 编 译 . N E T 语 言 （ 如 C ＃ 和 V i s u a l   B a s i c ） 时 ， 实 际 上 并 不 会 立 即 将 它 们 转 换 为 机 器 代 码 ， 而 是 会 将 它 们 编 译 为 可 在 其 公 共 语 言 运 行 时 （ C L R ） 上 运 行 的 中 间 语 言 。 由 于 I L 的 可 读 性 要 强 得 多 ， 因 此 汇 编 后 ， 此 工 具 的 编 写 将 成 倍 地 容 易 。 您 会 注 意 到 ， 如 果 您 一 直 在 使 用 防 御 者 防 病 毒 软 件 玩 了 一 段 时 间 ， 那 么 它 选 择 的 签 名 通 常 是 常 量 ， 例 如 字 符 串 或 变 量 名 。 它 不 会 保 存 任 何 常 见 的 库 方 法 名 称 ， 例 如 “   S y s t e m . T e x t . E n c o d i n g . U T F 8 . G e t S t r i n g ” ， 因 为 这 会 在 合 法 程 序 上 触 发 过 多 的 误 报 。 因 此 ， 我 们 将 混 淆 字 符 串 ， 方 法 ， 类 ， 命 名 空 间 和 程 序 集 编 译 信 息 。 让 我 们 开 始 我 们 将 使 用 d n l i b 作 为 程 序 集 编 辑 器 ， 也 可 以 使 用 m o n o   c e c i l ， 因 为 它 们 共 享 非 常 相 似 的 语 法 。 u s i n g   d n l i b . D o t N e t ; u s i n g   d n l i b . D o t N e t . E m i t ; 首 先 ， 您 必 须 加 载 程 序 集 以 混 淆 到 模 块 中 ， M o d u l e D e f   m d   =   M o d u l e D e f M D . L o a d ( " / p a t h / t o / a s s e m b l y " ) ; 使 用 模 块 对 象 ， 我 们 可 以 访 问 二 进 制 类 型 ， 编 译 信 息 和 类 。 我 们 将 像 这 样 修 改 装 配 体 信 息 。 s t r i n g [ ]   a t t r i   =   { " A s s e m b l y T i t l e A t t r i b u t e " ,   . . .   , " A s s e m b l y C o m p a n y A t t r i b u t e " } ; f o r e a c h   ( C u s t o m A t t r i b u t e   a t t r i b u t e   i n   m d . A s s e m b l y . C u s t o m A t t r i b u t e s )   {     i f   ( a t t r i . A n y ( a t t r i b u t e . A t t r i b u t e T y p e . N a m e . C o n t a i n s ) )   {         s t r i n g   e n c A t t r i   =   R a n d o m S t r i n g ( 1 0 ) ;         a t t r i b u t e . C o n s t r u c t o r A r g u m e n t s [ 0 ]   =   n e w   C A A r g u m e n t ( m d . C o r L i b T y p e s . S t r i n g ,   n e w  
U T F 8 S t r i n g ( e n c A t t r i ) ) ;     } } 接 下 来 ， 我 们 可 以 遍 历 程 序 集 的 类 型 并 更 改 类 和 名 称 空 间 的 名 称 。 f o r e a c h   ( v a r   t y p e   i n   m d . G e t T y p e s ( ) ) {         t y p e . N a m e   =   R a n d o m S t r i n g ( 1 0 ) ;         t y p e . N a m e s p a c e   =   R a n d o m S t r i n g ( 1 0 ) ; 之 后 ， 让 我 们 更 改 每 个 类 中 的 方 法 名 称 ， 请 警 惕 ， 因 为 某 些 我 们 不 能 更 改 的 方 法 （ 例 如 构 造 函 数 ） 。 f o r e a c h   ( M e t h o d D e f   m e t h o d   i n   t y p e . M e t h o d s ) {     i f   ( ! m e t h o d . H a s B o d y )   c o n t i n u e ;     i f   ( m e t h o d . I s C o n s t r u c t o r )   c o n t i n u e ;     s t r i n g   e n c N a m e   =   R a n d o m S t r i n g ( 1 0 ) ;     m e t h o d . N a m e   =   e n c N a m e ; 最 后 ， 让 我 们 修 改 字 符 串 ， 这 是 由   h t t p s : / / g i t h u b . c o m / C o d e O f D a r k / T u t o r i a l s - S t r i n g E n c r y p t i o n   提 供 的 。 最 好 添 加 自 己 的 自 定 义 字 符 串 混 淆 说 明 。 f o r ( i n t   i   =   0 ;   i   <   m e t h o d . B o d y . I n s t r u c t i o n s . C o u n t ( ) ;   i + + ) {     i f ( m e t h o d . B o d y . I n s t r u c t i o n s [ i ] . O p C o d e   = =   O p C o d e s . L d s t r ) {         S t r i n g   r e g S t r i n g   =   m e t h o d . B o d y . I n s t r u c t i o n s [ i ] . O p e r a n d . T o S t r i n g ( ) ;         S t r i n g   e n c S t r i n g   =   C o n v e r t . T o B a s e 6 4 S t r i n g ( U T F 8 E n c o d i n g . U T F 8 . G e t B y t e s ( r e g S t r i n g ) ) ;         m e t h o d . B o d y . I n s t r u c t i o n s [ i ]   =   n e w   I n s t r u c t i o n ( O p C o d e s . C a l l ,   m d . I m p o r t ( t y p e o f ( S y s t e m . T e x t . E n c o d i n g ) . G e t M e t h o d ( " g e t _ U T F 8 " ,   n e w   T y p e [ ]   {   } ) ) ) ;         m e t h o d . B o d y . I n s t r u c t i o n s . I n s e r t ( i   +   1 ,   n e w   I n s t r u c t i o n ( O p C o d e s . L d s t r ,   e n c S t r i n g ) ) ;         m e t h o d . B o d y . I n s t r u c t i o n s . I n s e r t ( i   +   2 ,   n e w   I n s t r u c t i o n ( O p C o d e s . C a l l ,   m d . I m p o r t ( t y p e o f ( S y s t e m . C o n v e r t ) . G e t M e t h o d ( " F r o m B a s e 6 4 S t r i n g " ,   n e w   T y p e [ ]   {   t y p e o f ( s t r i n g )   } ) ) ) ) ;         m e t h o d . B o d y . I n s t r u c t i o n s . I n s e r t ( i   +   3 ,   n e w   I n s t r u c t i o n ( O p C o d e s . C a l l v i r t ,   m d . I m p o r t ( t y p e o f ( S y s t e m . T e x t . E n c o d i n g ) . G e t M e t h o d ( " G e t S t r i n g " ,   n e w   T y p e [ ]   {   t y p e o f ( b y t e [ ] )   } ) ) ) ) ;         i   + =   4 ;     }
} 在 编 写 最 终 程 序 集 之 前 ， 我 们 需 要 清 理 I L 并 纠 正 可 能 因 指 令 插 入 而 发 生 的 错 误 ， 例 如 m a x s t a c k 不 足 。 m e t h o d . B o d y . S i m p l i f y B r a n c h e s ( ) ; m e t h o d . B o d y . O p t i m i z e B r a n c h e s ( ) ; 您 可 能 想 知 道 为 什 么 我 们 不 打 扰 更 改 变 量 ， 而 d n l i b 的 好 处 之 一 就 是 在 写 时 为 您 简 化 了 这 些 变 量 ， 因 此 无 需 混 淆 它 们 ， 因 为 它 们 已 经 被 破 坏 了 。 最 后 写 入 文 件 m d . W r i t e ( o u t F i l e ) ; 有 关 代 码 的 完 整 版 本 ， 可 以 在 这 里 查 看   h t t p s : / / g i t h u b . c o m / B i n a r y S c a r y / N E T - O b f u s c a t e / b l o b / m a s t e r / N E T - O b f u s c a t e / P r o g r a m . c s   测 试 现 在 ， 在 有 趣 的 部 分 上 ， 让 我 们 测 试 混 淆 器 ， 记 住 要 关 闭 “ 自 动 提 交 样 品 ” 功 能 ， 这 样 您 就 不 会 浪 费 所 有 的 工 作 。 首 先 让 我 们 在 契 约 C 2 代 理 上 尝 试 一 下 。
如 您 所 见 ， 没 有 防 病 毒 触 发 通 知 ， 并 且 D e f e n d e r - c h e c k 也 未 报 告 任 何 内 容 。 接 下 来 ， 让 我 们 在 T i k i T o r c h 之 类 的 大 型 工 具 上 进 行 尝 试 ， 这 次 运 行 防 御 程 序 扫 描 。 防 御 者 报 告 未 发 现 威 胁 。
结 论 这 篇 文 章 的 目 的 是 提 供 有 关 如 何 轻 松 创 建 自 己 的 混 淆 器 的 教 育 性 文 章 ， 如 先 前 所 指 出 的 ， 将 任 何 旧 的 攻 击 性 工 具 都 放 在 网 上 并 尝 试 在 交 战 中 使 用 是 确 保 成 功 的 可 靠 方 法 。 逃 避 防 御 者 的 最 佳 策 略 是 创 建 自 己 的 混 淆 工 具 ， 无 论 是 使 用 自 定 义 混 淆 器 还 是 手 动 更 改 它 们 。 有 一 个 很 大 的 混 淆 社 区 ， 其 处 理 方 式 比 该 混 淆 方 案 要 大 ， 因 此 另 一 种 可 行 的 方 法 是 对 其 中 一 个 工 具 进 行 足 够 的 修 改 ， 以 免 被 其 旧 签 名 所 困 扰 。 逃 避 旅 程 的 下 一 步 可 能 是 使 用 流 行 的   D o n u t   和   T i k i t o r c h 工 具   研 究 过 程 注 入 ， 或 者 检 查   A M S I   B y P a s s 。 分 享 、 点 赞 、 在 看 就 是 对 我 们 的 一 种 支 持 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理