Уклонение от средств защиты: 2 Часть.

Ghosting

Для осуществления данного метода нам необходимо иметь исходный файл (снова будем использовать mimikatz.exe) и целевой исполняемый файл, например, hack.exe. Рассмотрим технологию по шагам, как и в предыдущий раз.

  Delete pending. Delete Pending — это состояние, при котором файл еще не удален, потому что дескриптор на него открыт. Как только дескриптор закроется, файл удалится. Создаем файл и переводим в состояние delete-pending, используя NtSetInformationFile (FileDispositionInformation). Использование FILE_DELETE_ON_CLOSE не удалит файл.

1) Write — Копируем наш исходный исполняемый файл в созданный файл. Содержимое не сохраняется, так как файл находится в состоянии delete-pending. Также это состояние блокирует попытки открыть файл извне.

2) Map — Создаем image section и мапим содержимое в память.

3) Сlose(delete) — Закрываем дескриптор, файл удаляется.

4) Execute — Создаем процесс с дескриптором ранее созданного раздела. Создаем initial thread. В этот момент антивирусу направляется process creation callback, но файл уже удален. Попытка открыть его завершится с ошибкой STATUS_FILE_DELETED. Если попробовать открыть файл до того, как он будет удален, получите ту же самую ошибку.

Ghosting на практике

Клонирум про­ект и собира­ем (https://github.com/hasherezade/process_ghosting).

Вы­пол­няем коман­ду:

proc_ghost64.exe mimikatz.exe hack.exe

Сно­ва все выпол­нилось успешно и антивирусное ПО не сре­аги­ровало. Теперь давайте оце­ним информа­цию, которую пре­дос­тавит нам ProcessHacker.

Еще один инс­тру­мент, который реали­зует дан­ную тех­нику, — KingHamlet (https://github.com/IkerSaint/KingHamlet). Так­же он поможет с шифрованием пей­лоада:

KingHamlet.exe mimikatz.exe key

А process ghosting исполь­зует­ся на сле­дующем шаге:

KingHamlet.exe mimikatz.exe.khe key hack.exe

KingHamlet так­же отра­ботал успешно. В ProcessHacker мы уви­дим сле­дующее.