Апгрейды для шелл‐кода. Изучаем инструменты обхода антивирусов и EDR

Ма­тери­ал приз­ван помочь прак­тику­ющим спе­циалис­там по пен­тесту и SoC-ана­лити­кам разоб­рать­ся с тем, как зло­умыш­ленни­ки могут про­никать в сис­темы, минуя EDR (endpoint detection & response).

На чем мы тестировали

Для иссле­дова­ний мы исполь­зовали Kaspersky Endpoint Detection and Response и его вари­ацию для Linux (KESL), опен­сор­сный ClamAV, McAffee, Microsoft Defender Advanced Threat Protection, а так­же VirusTotal.

Ко­неч­ная цель — получить обратное соеди­нение на наш C2-сер­вер, роль которо­го будет исполнять Metasploit Framework, один из самых популяр­ных пен­тестер­ских инс­тру­мен­тов.

За пос­ледние годы АV и EDR научи­лись уже на ран­них ста­диях обна­ружи­вать фай­лы, которые были сге­нери­рова­ны Metasploit, потому что сущес­тву­ет мно­жес­тво сиг­натур для выяв­ления уста­нов­ки bind- и reverse-шел­лов. EDR опре­деля­ют, какие фай­лы .dll и .so исполь­зуют­ся при стар­те обо­лоч­ки Meterpreter, и это лишь малая часть приз­наков, помога­ющих выявить вре­донос­ный про­цесс. Для чис­тоты экспе­римен­та мы возь­мем шелл‑код, сге­нери­рован­ный через msfvenom, и будем пытать­ся его модер­низиро­вать.

Но для начала пос­мотрим, сколь­ко сей­час дает бал­лов VirusTotal на дефол­тный exe-стей­джер, сге­нери­рован­ный сле­дующей коман­дой:

То есть стан­дар­тный стей­джер без проб­лем обна­ружи­вает­ся сов­ремен­ными защит­ными решени­ями.

Да­вай поп­робу­ем сде­лать вари­ант с обхо­дом. Будем генери­ровать шелл‑код на С, так как это иде­аль­ный выбор, если нам нуж­на ско­рость и кросс‑плат­формен­ность.

Вот как выг­лядит наш пер­воначаль­ный шелл‑код:

Ни­чего необыч­ного. Шелл‑код прос­то дает реверс‑шелл, а обмен дан­ных про­исхо­дит по TCP. Мы даже не при­меня­ли шиф­рование и кодиро­вание.

Фреймворки для обхода AV/EDR

NimBlackout

NimBlackout поз­воля­ет уда­лить AV/EDR при помощи уяз­вимого драй­вера. Драй­вер GMER исполь­зует­ся для вза­имо­дей­ствия с ядром опе­раци­онной сис­темы и дает воз­можность обна­ружи­вать и ана­лизи­ровать скры­тые вре­донос­ные эле­мен­ты.