搜索

[18975] 2021-07-09_不会免杀？看我异或加密如何做到VT全免杀

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-07-09_不会免杀？看我异或加密如何做到VT全免杀 不 会 免 杀 ？ 看 我 异 或 加 密 如 何 做 到   V T   全 免 杀 原 创   I n B u g 实 验 室   I n B u g 实 验 室   2 0 2 1 - 0 7 - 0 9                                                                                                                                                                                                                                           前 言 前 言 最 近 逛   g i t h u b   的 时 候 发 现 一 个   C   的 免 杀 项 目 ， 项 目 介 绍 中 ， 作 者 只 利 用 了 动 态 加 载   w i n d o w s   a p i   ， 和 异 或 加 密 的 方 法 就 达 到 了 在   a n t i s c a n . m e 上 全 免 杀 的 效 果 ： 于 是 ， 我 怀 着 一 颗 学 徒 之 心 ， 研 究 了 一 下 这 个 项 目 ， 下 面 是 我 在     v t   上 的 测 试 结 果 ：
                                                                                                                                                                                                                                          使 用 方 法 使 用 方 法 需 要 的 环 境 ： p y t h o n 3   、 C + + 编 译 环 境 （ 我 测 试 的 时 候 是 用 V S 2 0 1 7 编 译 的 ， 如 果 是 K a l i   L i n u x 需 要 使 用 a p t - g e t   i n s t a l l   m i n g w - w 6 4 * 命 令 安 装 相 关 编 译 环 境 ） 。 先 利 用 m s f 生 成 s h e l l c o d e （ 这 里 为 了 方 便 测 试 直 接 生 成 弹 计 算 器 的 s h e l l c o d e ） 然 后 运 行   p y t h o n   c h a r l o t t e . p y ： m s f v e n o m   - p   w i n d o w s / e x e c   C M D = c a l c . e x e   E X I T F U N C = t h r e a d   - f   r a w   - o   b e a c o n . b i n
生 成 后 的 d l l 文 件 就 是 需 要 的 恶 意 文 件 了 ， 执 行 方 法   r u n d l l 3 2   c h a r l o t t e . d l l , 随 机 函 数 名   具 体 的 命 令 在 运 行 c h a r l o t t e . p y 脚 本 后 会 显 示 ， 如 下 图 ： B y p a s s   A V   无 压 力 。                                                                                                                                           源 码 分 析 源 码 分 析 这 个 项 目 一 共 分 为 两 个 部 分 ， 大 概 的 思 路 就 是 创 建 一 个 模 板 的 C + + 文 件 ， 然 后 利 用 p y t h o n 对 字 符 串 的 处 理 ， 来 解 决 C + + 文 件 中 w i n d o w s   a p i 的 混 淆 和   s h e l l c o d e   的 加 密 。 （ 其 实 很 简 单 ， 还 是 老 一 套 ） ， 项 目 目 录 结 构 如 下 图 ：
首 先 ， 我 们 来 看 下 C + + 模 板 文 件 的 关 键 代 码 ： 可 以 看 到 ， 这 个 项 目 并 没 有 用 什 么 很 复 杂 的 技 巧 ， 模 板 C + + 的 代 码 流 程 大 概 是 这 样 的 ： 申 请 内 存 空 间 申 请 内 存 空 间 — — >   更 改 内 存 空 间 属 性 更 改 内 存 空 间 属 性   — — >   创 建 线 程 创 建 线 程 — — >   执 行 执 行 s h e l l c o d e   不 过 在 调 用 的 函 数 的 时 候 ， 都 采 用 了 使 用 G e t P r o c A d d r e s s 动 态 获 取 函 数 的 方 式 ， 这 样 的 方 法 应 该 是 让 大 部 分 杀 软 无 法 通 过 导 入 表 中 的 函 数 去 判 断 程 序 的 黑 白 。 接 下 来 ， 我 们 看 p y 文 件 的 内 容 ： 第 一 个 部 分 ， 读 取 s h e l l c o d e 内 容 ， 还 有 准 备 需 要 混 淆 的 a p i 名 字 ， 获 取 k e y 随 机 字 符 串 。         / /   I f   a l l   g o o d ,   l a u n c h   t h e   p a y l o a d         i f   (   r v b a   ! =   0   )   {                                 X O R ( ( c h a r   * )   c r e a t e t h r e a d ,   c t _ l e n ,   c t _ k e y ,   s i z e o f ( c t _ k e y ) ) ;                                 p C r e a t e T h r e a d   =   G e t P r o c A d d r e s s ( G e t M o d u l e H a n d l e ( " k e r n e l 3 2 . d l l " ) ,   c r e a t e t h r e a d ) ;                         t h b a   =   p C r e a t e T h r e a d ( 0 ,   0 ,   ( L P T H R E A D _ S T A R T _ R O U T I N E )   e x e c _ m e m ,   0 ,   0 ,   0 ) ;                                 X O R ( ( c h a r   * )   w a i t f o r s i n g l e o b j e c t ,   w f s o _ l e n ,   w f s o _ k e y ,   s i z e o f ( w f s o _ k e y ) ) ;                         p W a i t F o r S i n g l e O b j e c t   =   G e t P r o c A d d r e s s ( G e t M o d u l e H a n d l e ( " k e r n e l 3 2 . d l l " ) ,   w a i t f o r s i n g l e o b j e c t ) ;                         p W a i t F o r S i n g l e O b j e c t ( t h b a ,   - 1 ) ;         }         r e t u r n   T R U E ;         }
第 二 部 分 ， 将 s h e l l c o d e 和 相 关 a p i 字 符 串 通 通 用 异 或 进 行 混 淆 ： 第 三 部 分 ， 将 混 淆 后 的 字 符 串 和 混 淆 用 的 k e y 替 换 模 板 中 文 件 的 对 应 部 分 ：
第 四 部 分 ， 用 g + + 生 成 目 标 文 件 ， 清 除 中 间 产 生 的 c p p 文 件 ：                                       总 结 总 结 这 个 项 目 免 杀 的 原 因 大 概 有 以 下 几 点 ： 1 .   V T 的 多 引 擎 查 杀 是 静 态 查 杀 ， 或 者 说 由 于 生 成 的 是 动 态 链 接 库 文 件 ， 使 得 杀 毒 引 擎 只 能 使 用 启 发 式 查 杀 和 动 态 查 杀 去 判 断 黑 白 。 2 .   模 板 中 的 字 符 串 赋 值 类 似 c h a r   b u f [ ]   =   { ' h ' , ' e ' , ' l ' , ' l ' , ' o ' } ; 。 这 样 让 字 符 串 存 在 于 t e x t 段 ， 而 非 常 见 的 r d a t a 段 ， 字 符 串 数 据 和 代 码 混 在 一 起 ， 让 杀 毒 引 擎 难 以 快 速 识 别 里 面 的 字 符 串 。 （ 之 所 以 说 难 以 识 别 ， 是 因 为 用 i d a 之 类 的 软 件 还 是 能 看 出 来 的 ， 但 是 那 样 要 求 去 用 反 汇 编 引 擎 反 编 译 ， 识 别 语 法 树 之 类 的 ， 操 作 时 间 太 长 ， 为 了 平 衡 杀 毒 效 率 和 杀 毒 准 确 性 ， 一 般 会 在 云 平 台 上 运 行 ） 3 .   模 板 中 调 用 w i n d o w s   a p i 的 使 用 都 是 动 态 加 载 ， 而 且 用 字 符 串 混 淆 的 方 式 隐 藏 了 a p i 函 数 ， 而 且 每 个 字 符 串 的 k e y 都 不 一 样 ， 导 致 杀 毒 引 擎 没 法 识 别 出 本 来 的 字 符 串 ， 进 一 步 识 别 。 总 得 来 说 ， 这 个 项 目 在 静 态 查 杀 方 面 已 经 做 到 了 免 杀 当 前 所 有 杀 毒 引 擎 ， 是 个 挺 不 错 得 项 目 。 由 于 比 较 懒 ， 并 没 有 按 照 项 目 推 荐 去 下 g + + 环 境 踩 坑 ， 以 下 是 在 v s 2 0 1 7 上 存 在 得 一 些 坑 点 ， 大 家 踩 坑 的 时 候 自 行 斟 酌 。
这 个 项 目 的 p y t h o n 脚 本 对 g + + 编 译 过 程 是 隐 藏 的 ， 所 以 一 些 编 译 时 可 能 有 的 错 会 难 以 发 现 。 如 果 发 现 运 行 脚 本 后 没 有 自 动 生 成 d l l 文 件 的 话 ， 建 议 从 编 译 的 步 骤 开 始 自 个 手 动 编 。 像 我 就 将 脚 本 移 除 c p p 文 件 的 部 分 注 释 了 ， 然 后 手 动 编 译 （ 结 果 发 现 没 环 境 ， 最 后 看 到 作 者 有 写 要 下 环 境 ~ ） 模 板 c + + 文 件 中 对 于 类 型 转 化 的 报 错 ， 项 目 中 源 码 如 下 图 ， 在 v s 2 0 1 7 上 编 译 的 话 是 会 报 类 型 不 匹 配 的 错 的 需 要 用 到 类 型 强 转 ： 改 后 的 源 码 ： 模 板 c + + 文 件 中 对 字 符 串 的 处 理 并 没 有 加 结 束 符 ， 会 导 致 解 密 后 运 行 报 错 ， 所 以 需 要 在 字 符 串 末 尾 加 上   0 x 0 0 ， 就 像 这 样 ：
当 然 ， 可 以 在 脚 本 里 面 直 接 加 ： 模 板 文 件 中 的 函 数 类 型 没 有 赋 值 ， 所 以 也 会 报 错 。 需 要 加 上 类 型 说 明 和 强 制 转 换 ： 最 后 ， 祝 大 家 上 线 如 回 家 ， 免 杀 如 喝 水 ！ ！ 参 考 ： h t t p s : / / g i t h u b . c o m / 9 e m i n 1 / c h a r l o t t e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理