• XSS.stack #1 – первый литературный журнал от юзеров форума

Написание своего крипта - пара вопросов

Lewandowskiy

floppy-диск
Пользователь
Регистрация
12.05.2025
Сообщения
3
Реакции
0
Столкнулся с задачей, нужен крипт. Желательно и scantime и runtime, начал разбираться в этой теме, пришел к выводу что нужно разбираться в криптографии и LoadPE, но все еще остались неопределенности.
И так, модуль шифрования. Я так понял никаких "правил" по его написанию нет, и тут все зависит от твоей фантазии. Задаюсь вопросом хватит ли AES-256-GCM для FUD (или почти) по скантайму, или нужно приходить к более изощренным методам генерации кода и компиляции в рантайме, генерации алгоритма шифрования непосредственно из каких то байтов разбросанных по интернету в виде png-картинок. В общем чего только не придумать, и я бы предпочел путь наименьшего сопротивления, так как сейчас мои знания ограничиваются базовой информацией о том как устроен крипт, и как устроен AES. Не хочу тратить время и сразу начать изучение с самых важных тем. Анти-эмуляция, необходима ли она? По какому принципу работает, информации по этому поводу не искал, но в темах толком не освещалась. Это ведь все таки runtime составляющая, и мы плавно к ней переходим. Информацию тоже пока что не искал, но в темах не освещалась и быть может это моя ошибка что я в спешке создаю тему, но единственное что я помню из прочитанного это предложение подгрузки в другой процесс, или же просто "писать грамотный вредоносный код". Как бороться с динамическими детектами, неужели все сводиться к тому что бы смотреть на что антивирус жалуется и переписывать этот участок кода "грамотней". И на последок, вопрос вероятно глупый, но почему бы не воспользоваться возможностью, c++ являясь нативным ведь как никак подходит для написания крипта?
 
Приветствую! Все зависит от того, какие антивирусы ты собираешься обходить. Начнем с того, что для обхода Windows Defender можно, например, патчить ETW и AMSI. В целом, советую использовать запуск шеллкода (например, могу порекомендовать инструменты вроде pe_to_shellcode, если ты криптуешь обычный PE), или что-то подобное, потому что RunPE для новичка будет довольно сложной темой. Что касается обхода рантайма - просто "зашифровать свой пэйлоад" недостаточно. Раскидывать байты по интернету - это уже, конечно, перебор, но сама идея для обхода скантайма интересная, возьму на заметку 😉. Я бы порекомендовал попробовать маскироваться под легитимную программу, стараться не оставлять большую таблицу импортов в открытом виде и вообще не пихать туда ничего лишнего. Для начала, можешь изучить такую технику, как динамические импорты (GetProcAddress, LoadLibrary и т.д.). Что касается других антивирусов - рантайм обойти не получится. В более продвинутых антивирусах, таких как BitDefender, ESET, Kaspersky и т.д. или тем более, если речь вообще о полноценных EDR-системах вроде CrowdStrike Falcon, SentinelOne и т.д., тут могу только пожелать удачи. Для обхода рантайма обычно используют киллеры, которые стоят гораздо дороже, чем обычные крипторы, и я бы не советовал тебе пока туда лезть. Для начала изучи основы криптования, а уже потом можешь переходить к изучению киллеров. В целом, советую обратить внимание на проекты с этого GitHub профиля: https://github.com/hasherezade. Там найдешь много полезного, в том числе тот же RunPE, который тебя интересовал, и другие интересные техники. Удачи в изучении!
 
патчить ETW
где вы такой шизы понабирались

патчить етв:
а) нихуя не дает, ибо вы патчите юзермод етв, а все что нужно скрыть - логается в ядре
б) создает детектов полные штаны в рантайме нормальных ав
 
Тут все зависит от АВ и задачи если криптуешь под деф и обычные ав это одни техники если под едр уже другие потому что обычный деф допустим не хукает функции при переходе из юзер мода в кернел и его можно хорошо обходить на уровне хеширования апи и простого xor ну и допустим натив апи с своим парсингом PE этого более достаточно в etw и прочее с ним нет смысла лезть ну анти вм техники и прочее хорошо бы добавить если софт на мас пролив идет хотя иногда это детект.А вот с едр все сложнее но не всегда зависит от продукта тут уже на снимать хуки через VEH или же косвеный системные вызовы тоже зависит от едр решения ну скажу так готовый рецепт никто не даст. порой на обычном повершел без СИ Асмов можно лушче обходить если не касаться диска и граммтоно сделать закрпеление)) вопрос решения задачи для ратника одни техники а для корп софта другие.
 
б) создает детектов полные штаны в рантайме нормальных ав
Для начала хотелось бы отметить, что это я упоминал лишь в контексте обхода для Windows Defender. Криптом рантайм я уж сомневаюсь, что в 2025 кто-то будет пытаться обойти что-то, кроме WD.
а) нихуя не дает, ибо вы патчите юзермод етв, а все что нужно скрыть - логается в ядре
В целом, да, признаю - моя ошибка. Только что провел небольшое исследование, и все же ты прав. Почти никакой эффективности это не дает, а только добавляет детекты. Спасибо, что подметил мою ошибку! 😅
 
Приветствую! Все зависит от того, какие антивирусы ты собираешься обходить. Начнем с того, что для обхода Windows Defender можно, например, патчить ETW и AMSI. В целом, советую использовать запуск шеллкода (например, могу порекомендовать инструменты вроде pe_to_shellcode, если ты криптуешь обычный PE), или что-то подобное, потому что RunPE для новичка будет довольно сложной темой. Что касается обхода рантайма - просто "зашифровать свой пэйлоад" недостаточно. Раскидывать байты по интернету - это уже, конечно, перебор, но сама идея для обхода скантайма интересная, возьму на заметку 😉. Я бы порекомендовал попробовать маскироваться под легитимную программу, стараться не оставлять большую таблицу импортов в открытом виде и вообще не пихать туда ничего лишнего. Для начала, можешь изучить такую технику, как динамические импорты (GetProcAddress, LoadLibrary и т.д.). Что касается других антивирусов - рантайм обойти не получится. В более продвинутых антивирусах, таких как BitDefender, ESET, Kaspersky и т.д. или тем более, если речь вообще о полноценных EDR-системах вроде CrowdStrike Falcon, SentinelOne и т.д., тут могу только пожелать удачи. Для обхода рантайма обычно используют киллеры, которые стоят гораздо дороже, чем обычные крипторы, и я бы не советовал тебе пока туда лезть. Для начала изучи основы криптования, а уже потом можешь переходить к изучению киллеров. В целом, советую обратить внимание на проекты с этого GitHub профиля: https://github.com/hasherezade. Там найдешь много полезного, в том числе тот же RunPE, который тебя интересовал, и другие интересные техники. Удачи в изучении!
Спасибо, хотелось бы побольше узнать про обход скантайма, именно шифрование пейлоада. Полагаю делать это можно любым способом, которым только вздумается и разумеется от него будет зависеть выстоит ли крипт, что насчет AES-256, или нужно что то более оригинальное? Цель стоит в целом закрыть скантайм, были предположения что это делается раз и навсегда для всех ав, но судя по тому что ты отметил "какие антивирусы" теперь я в замешательстве.
 
Спасибо, хотелось бы побольше узнать про обход скантайма, именно шифрование пейлоада. Полагаю делать это можно любым способом, которым только вздумается и разумеется от него будет зависеть выстоит ли крипт, что насчет AES-256, или нужно что то более оригинальное? Цель стоит в целом закрыть скантайм, были предположения что это делается раз и навсегда для всех ав, но судя по тому что ты отметил "какие антивирусы" теперь я в замешательстве.
Сегодня/завтра напишу отдельную статью с полным гайдом с нуля по криптам. Пройдусь по всей информации, связанной со скантаймом, напишу общие методы, расскажу, какие антивирусы что детектят и каким образом, покажу код и сделаю крипт, который будет обходить скантайм некоторых популярных антивирусов. Также объясню, как выбрать алгоритм шифрования, чего делать не стоит, и в целом соберу все самое основное по этой теме. Ожидай! 😄
 
Вставлю свои три копейки но все же. По опыту скажу так: для обхода большинства паблик антивирусов не нужно создавать мудреные и проморфленые (не путать джанкод с морфом кода) стабы с динамичским подгрузом функций и так далее... Большинство аверов в наше не спалит обычное лоадпе с гитхаба со слегка набитыми ресурсами. И думаю стоит понимать что рантайм вашего билда никак не скрыть, если изначальный билд писал рукожоп то детекты в рантайме никуда не денуться хоть после любого крипта... С EDR ситуация немного другая, у них довольно гибкая настройка и дефолтная ситуация когда стаб может обойти один и тот же едр с одними настройками, а такой же с другими - не может. Касаемо шеллкодов скажу что далеко не каждый софт будет работать как шеллкод и это нормально, единственный способ тут - использование самописных шеллкодпакеров (Примером донут) , он пакует ехе в шеллкод и добавляет в него своим оп коды которые позволяют подтягивать необходимые зависимости в динамике (вплодь до CLR), но тут и обратная сторона медали что, опкоды эти палятся еще мощнее чем просто грязный стаб только уже в динамике...
Касаемо метода шифрования хочу отметить интересный факт что некоторые аверы научились в статике искать ключи и расшифровывать массивы байтов. Это не факт из головы ,а мое реальное наблюдение .
 


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх