Il framework del velo produce binari imballati e offuscati che aggirano il virustoto?

6

Ho lavorato con il framework di velo per testare un sistema IDS interno che ho installato. Ho usato un esempio di malware pubblico che produce un punteggio di hit 8/53 su Virustotal e lo eseguo attraverso i payload del velo di Hyperion e Pescrambler.

Tuttavia, i campioni di output mantengono il punteggio o l'aumento del colpo iniziale (nel caso di Hyperion). È questo comportamento atteso dal framework del velo? Questo è dovuto alla presenza di analisi dinamiche?

Ci sono suggerimenti per generare eseguibili imballati e offuscati con un grado più elevato di efficacia di bypass per i test di sicurezza interni?

    
posta Fred Concklin 06.01.2015 - 13:31
fonte

1 risposta

3

Il commentatore, paj28, è corretto: non inviarli a VirusTotal. Provali contro i sistemi HIPS e AV specificamente mirati in un ambiente guest VM. Preferisco usare Vagrant insieme agli strumenti Packer e Boxcutter per "prendere in giro" cose in un laboratorio.

Hyperion è grandioso, ma non abbinarlo necessariamente a Pescrambler. Hai solo bisogno di un criptor, non di due. Ciò di cui hai idealmente bisogno è un criptor e un packer, ad es. Hyperion e UPX. Prova i vari formati UPX e opzioni : uno funzionerà dopo la criptazione. Quello sarebbe il più efficiente e meno radar. Due cryptor o due packer sono troppi e "oltre la soglia".

Un altro fattore è Meterpreter (o qualsiasi altro impianto di base da cui stai lavorando). Non è il miglior impianto (alcuni danno via troppo), specialmente non su Win32. Chiama troppe funzioni sensibili da troppe dipendenze W32 che sono ovviamente malware. Quello di cui hai bisogno è un impianto diverso, come Cobalt Strike Beacon o Silent Break Security Throwback . La mia sceneggiatura preferita di Q42014 e Q1-2 2015 è veil_evasion.cna. È nelle fonti ufficiali e probabilmente in PowerSploit, ecc., Ma può essere caricato con pochi altri tramite questo specifico progetto dall'autore originale - link

    
risposta data 13.05.2015 - 04:24
fonte