Пытаюсь обойти дефендер.
Сделал билд по этой статье, выставил флаги и пожал упхом
Дефендер сам ехе не палит, но после запуска и коннекта на хендлер метасплоита дефендер просыпается и убивает процесс.
Орет что обнаружен метерпретер.
Получается, что реагирует он именно на шеллкод.
Вопрос, как бы его так криптануть чтобы дефендер успокоился.
Нашел как парни криптуют шеллкод, но ведь при раскриптовке это будет тот же самый шеллкод? Или такой криптовки достаточно?
У меня есть подозрение, что раз мой ехешник уже не палиться до запуска, то и нет смысла криптовать шеллкод, запал происходит во время его исполнения, а когла шеллкод исполняется он уже расшифрован.
Типа лишний маневр.
Вот здесь ребята с rapid7 про это пишут, мол с runtime и есть основная проблема.
Вопрос в том куда дальше копать?
Если я заморочусь на крипт шеллкода, то придется еще и декрипт прикрутить и возможно я получу то что уже имею, запал шеллкода в памяти.
Как можно видоизменить его в памяти?
Накопал hyperion, еще не пробовал, но это похоже на runtime криптор.
Может нужно вообще в другоую сторону копать?
Я рассуждаю так, что если запал идет самого шеллкода, то нужно лиьбо его видоизменить, либо обфуцировать, либо както накрыть.
Видоизменить шеллкод это слишком круто, подобрать иной можно, но я хочу именно meterpreter.
Остаеться только крипт рантайма и энкодинг шеллкода.
Боюсь, что энкодинг, опять же, не даст результата на уровне рантайма.
Все это происходит во время моего пентеста Подскажите вектор атаки по Windows 10
Сделал билд по этой статье, выставил флаги и пожал упхом
Ссылка скрыта от гостей
Дефендер сам ехе не палит, но после запуска и коннекта на хендлер метасплоита дефендер просыпается и убивает процесс.
Орет что обнаружен метерпретер.
Получается, что реагирует он именно на шеллкод.
Вопрос, как бы его так криптануть чтобы дефендер успокоился.
Нашел как парни криптуют шеллкод, но ведь при раскриптовке это будет тот же самый шеллкод? Или такой криптовки достаточно?
Ссылка скрыта от гостей
У меня есть подозрение, что раз мой ехешник уже не палиться до запуска, то и нет смысла криптовать шеллкод, запал происходит во время его исполнения, а когла шеллкод исполняется он уже расшифрован.
Типа лишний маневр.
Вот здесь ребята с rapid7 про это пишут, мол с runtime и есть основная проблема.
Ссылка скрыта от гостей
Вопрос в том куда дальше копать?
Если я заморочусь на крипт шеллкода, то придется еще и декрипт прикрутить и возможно я получу то что уже имею, запал шеллкода в памяти.
Как можно видоизменить его в памяти?
Накопал hyperion, еще не пробовал, но это похоже на runtime криптор.
Может нужно вообще в другоую сторону копать?
Я рассуждаю так, что если запал идет самого шеллкода, то нужно лиьбо его видоизменить, либо обфуцировать, либо както накрыть.
Видоизменить шеллкод это слишком круто, подобрать иной можно, но я хочу именно meterpreter.
Остаеться только крипт рантайма и энкодинг шеллкода.
Боюсь, что энкодинг, опять же, не даст результата на уровне рантайма.
Все это происходит во время моего пентеста Подскажите вектор атаки по Windows 10
