• XSS.stack #1 – первый литературный журнал от юзеров форума

Статья Обход Chrome Alert и Windows Defender при скачивании .exe

Отслеживать
IPMASHEEN

IPMASHEEN

RAM
Забанен
Регистрация
12.07.2022
Сообщения
111
Реакции
59
Пожалуйста, обратите внимание, что пользователь заблокирован
Привет мой юный читатель. Как мы все уже знаем, с последними обновлениями Windows Defender начал блокировать обычный .sfx архив созданный в последней версии winrar. А так же хром блокирует файл при скачивании, ставя красную метку на файл с кнопкой "Discard".
В этой статье я покажу как обойти это без особых танцев с бубном.
Тестирование будет происходить на оффициальной Windows 11 с утсановленным Windows Defender и последней версией Chrome скаченной с официальной страницы гугла.

И так, создаем архив sfx с обычным вызовом cmd.exe
1.png


У нас получается файл ser.exe (наш созданный sfx), при запуске которого открывается cmd.exe

Заливаем этот файл на хостинг или на сайт с которого он будет качаться. У меня есть свой сайт и я его залью туда.
Залили? Проверяем. Вставляем прямую ссылку на файл в браузер и видим
2.png



А Windows Defender, если он включен, тут же удаляет файл без возможности запуска.

И так, если нет питона, устанавливаем. Я поставил версию 3.10 с официального сайта.
Качаем скрипт: copysert.py
Ложим его в папку C:\zxc\copysert.py
Ложим в папку zxc, рядом со скриптом любой exe с которого хотим скопировать сертификат. Я буду использовать драйвера от алчного, проприетарного ПО, Nvidia (i.exe).
Выглядеть это должно так
3.png



У файла i.exe обязательно должена быть цифровая подпись. Глянуть можно тут
4.png



Запускаем скрипт copysert.py с такими параметрами и при удачном выполнении увидим следующее
5.png


copysert.py - скрипт
i.exe - файл откуда тащим сертификат.
ser.exe - исходный файл на который копируем сертификат.
q.exe - файл, который получаем на выходе. он будет иметь сертификат такой как у i.exe

Проверяем. Переименовываем файл q.exe в 2ser.exe, заливаем на наш хостинг\сайт и пробуем скачать. Видими

6.png



Файл успешно скачался без каких либо алертов и блокировок. Windows Defender в этот момент полностью включен и обновлен.

Пробуем запустить и видим
7.png



Все запустилось без каких либо алертов и блокировок.
Таким образом, мимикрируя под разный легитимный софт, можно легко обходить проверки автоматического анализа файлов.

Написано и Взято с Языка Хакера - https://zxc.qa
 
Последнее редактирование:
Пожалуйста, обратите внимание, что пользователь заблокирован
Выкладываю скрипт, так как при публикации почему то не прикрепился.
Параметры запуска: python ser.py -i i.exe -t t.exe -o o.exe
Пароль на архив: https://zxc.qa
 

Вложения

  • zxc.zip
    421.6 КБ · Просмотры: 153
Последнее редактирование:
Пожалуйста, обратите внимание, что пользователь заблокирован
Написал прожку небольшую для тех у кого ошибки и т.д.

1664299774700.png


1664299787600.png


В архиве исходники delphi и файл аимпа откуда можно дернуть цифровую подпись для теста.

Скачать: https://anonfiles.com/A1wddfA3yb/copysert_0.1_zip (без пароля)
 
Пожалуйста, обратите внимание, что пользователь заблокирован
привет ! Очень интересная статья, думаю опробую позже. Но жду с нетерпением еще ! И спасибо за софт с сертом

update
все ворк, но серт слетает сразу, если ставить на обычный малварь при запуске
 
Последнее редактирование:
Так а ты в курсе что серт при этом битый получается ? Ты просто копируешь сырые байты из директории Secutiry в хидере PE файла, с таким же успехом ты можешь просто создать самоподписанный серт и подписать свое приложение, тогда и подпись будет валидна, и серт валиден для данного файла
А когда на файле висит сертификат, который просто скопирован с другого приложения, то при открытии свойств файла и открытии вкладки Цифровые подписи, на цифровой подписи будет написано, что она невалидна для данного файла и даже будет помечена красным
1664368751269.png


1664368769720.png

1664368990680.png
 
Пожалуйста, обратите внимание, что пользователь заблокирован
arsarsov сказал(а):
Так а ты в курсе что серт при этом битый получается ? Ты просто копируешь сырые байты из директории Secutiry в хидере PE файла, с таким же успехом ты можешь просто создать самоподписанный серт и подписать свое приложение, тогда и подпись будет валидна, и серт валиден для данного файла
А когда на файле висит сертификат, который просто скопирован с другого приложения, то при открытии свойств файла и открытии вкладки Цифровые подписи, на цифровой подписи будет написано, что она невалидна для данного файла и даже будет помечена красным
Посмотреть вложение 43605

Посмотреть вложение 43606
Посмотреть вложение 43607
ждем от тебя пост как сделать грамотно ! XD
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Идея хорошая, но как и все хорошее, оно приходит в головы к разным людям в разное время)
https://github.com/secretsquirrel/SigThief - уже реализовано, пользуется всеми.
А за статью спасиб. Хорошего много не бывает)
 
Пожалуйста, обратите внимание, что пользователь заблокирован
arsarsov сказал(а):
Так а ты в курсе что серт при этом битый получается ?
Естественно я в курсе. В статье рассказано как обойти chrome и defender а не как подделать хеш файла. Хотя и такие случаи мне известны. С файлами небольшего веса может быть возможно такое сделать.

Aels сказал(а):
Идея хорошая, но как и все хорошее, оно приходит в головы к разным людям в разное время)
Теперь будет пользоваться еще больше :) В статье описан принципи обхода. Софт для копирования сертификата можно хоть самому написать.

Кстати, в голову закралась мысль о том что бы сделать вторую часть статьи с переносом скрипта на сервер и автоматизацией процесса переподписания файла по запросу с web интерфейса по api.
Незнаю, нужно ли такое кому то?
 
IPMASHEEN сказал(а):
Хотя и такие случаи мне известны.
Измени один байт оригинального файла и уже хеш будет другой, а тем более из малварь сделать хеш, чтоб было как у искомого - невозможно.
 
Yshial сказал(а):
ждем от тебя пост как сделать грамотно ! XD
Да никак, именно подделать серт (стянув с чужого файла) не получится, криптография этого не позволяет, так как ралгоритмы которые используются в современных цифровых подписях минимально подвержены коллизиям, и найти такой же файл, для которого будет эта цифровая подпись валидна - невозможно
А если ты про то как создать сапомодписанный серт, то эта инфа есть на сайте MSDN и все необходимые утилиты которые создают сертификаты есть там же
 
Статья конечно пиздец а-ля из 2019 года если не раньше, скрипт в теме от сюда тыц wink.png


arsarsov сказал(а):
Да никак, именно подделать серт (стянув с чужого файла) не получится, криптография этого не позволяет
Ну не так давно это работало не плоха тыц и сейчас работает но есть нюансы wink.png


WhiteDragon сказал(а):
чтоб было как у искомого - невозможно.
Если правильно понял то можно тыц или тыцwink.png
IPMASHEEN сказал(а):
Кстати, в голову закралась мысль о том что бы сделать вторую часть статьи с переносом скрипта на сервер и автоматизацией процесса
Если правильно понял, это что-то типа этого будет то думаю да интересно.

 
Последнее редактирование:
Пожалуйста, обратите внимание, что пользователь заблокирован
xrahitel сказал(а):
Статья конечно пиздец а-ля из 2019 года если не раньше
Не понял, по каким это таким критериям оценена статья на 2019 год?))
 
Последнее редактирование:
Пожалуйста, обратите внимание, что пользователь заблокирован
xrahitel сказал(а):
сли правильно понял, это что-то типа этого будет то думаю да интересно.
Нет, я имел ввиду другое. Есть ленд с 1-2к траффика в день, например. Один и тот же файл переподписывать и раздавать каждый раз глупо. Хром быстро поставит алерт а аверы накидают сигнатур. Интереснее на лету подменять сертификат через api и отдавать файл каждый раз с новым сертификатом взятым у какого то рандомного, проприетарного, легитимного ПО.

Этой теме я бы посвятил отдельную статью.
 
Последнее редактирование:
IPMASHEEN сказал(а):
Не понял, по каким это таким критериям оценена статья на 2019 год?))
Ну в том смысли что об этом не знали только школьники типа меня тыц
biggrin.png
 
IPMASHEEN сказал(а):
Нет, я имел ввиду другое. Есть ленд с 1-2к траффика в день, например. Один и тот же файл переподписывать и раздавать каждый раз глупо. Хром быстро поставит алерт а аверы накидают сигнатур. Интереснее на лету подменять сертификат через api и отдавать файл каждый раз с новым сертификатом взятым у какого то рандомного, проприетарного, легитимного ОП.

Этой теме я бы посвятил отдельную статью.
Нормально будет)
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Ну для меня самого было открытием что Windows Defender перестает ругаться на файл так что не знаю где там 2019 пахнет.

xrahitel сказал(а):
Ну в том смысли что об этом не знали только школьники типа меня тыц
Школьник он.. В школу если и ходишь то преподавать ;)
 
IPMASHEEN сказал(а):
Выкладываю скрипт, так как при публикации почему то не прикрепился.
Параметры запуска: python ser.py -i i.exe -t t.exe -o o.exe
Пароль на архив: https://zxc.qa
спасибо бро
 
xrahitel сказал(а):
Ну не так давно это работало не плоха тыц и сейчас работает но есть нюансы
Нет, не работает и не будет работать, возможно что в лабораторных условиях ты найдешь коллизию, и то только если будет использован md5 (который вообще-то не используется в фицровых подписях но да ладно) или sha1, который уже вышел из обихода
Но даже на старых цифровых подписях с sha1 тебе не удастся найти файл, который даст такой же хеш, что бы заменить подпись, в теории такое реально, на практике нет, это как присказка про бесконечное количество обезьян в бесконечном количестве измерений, которые когда-нибудь случайно тыкая по клавишам напечатают "Война и мир"
Если бы все было так просто как ты думаешь, сейчас не продавали бы по 3-5к серты что бы подписать малварь, любой умник находил бы коллизии и воровал бы подписи, но увы реальность криптографии не такая, и на практике ты получаешь болт, а не то что описывают теоретики в статьях
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх