ShellcodeLoader

Hzllaga Tuesday, May 26, 2020

ShellcodeLoader

https://github.com/Hzllaga/ShellcodeLoader

将shellcode用rsa加密并动态编译exe,自带几种反沙箱技术。

如果要用 .NET 2.0编译请手动编译,csc不支持某些代码

反沙箱

  • 判断父进程是否为Debugger

  • 判断时间是否加速

一般沙盘内的程序时间都会加速。

  • 判断进程是否有黑名单

判断是不是虚拟机,不过有几个vm进程是本机也会存在的,怕误报可以手动修改黑名单列表。

  • 判断MAC地址是否有黑名单

判断是不是虚拟机的mac地址,有几个地址只要本机有装虚拟机也会有,怕误报可以手动修改黑名单列表。

  • 判断系统盘是否大于50GB

一个正常PC的系统盘都会大于50GB。


使用

General:

运行生成的exe文件

Argument:

程序会保存加密好的数据到Output.txt

shellcode.exe “私钥” “加密数据”


截图

VirusTotal(12/72):

常见的360、电脑管家、微软、卡巴斯基等都轻松免杀。

哈勃(未发现风险):

Hybrid Analysis(35/100):

程序:

参考

.NET for C# - RSA分段加解密

GhostShell

原创免杀shellcode.NET

Hugo 博客搭建

审计某bc系统实现代码执行