Évasion

🧩 Contexte Publié sur GitHub (https://github.com/g13net/lockjaw), cet article est la documentation officielle de Lockjaw v0.2.15, un framework de command-and-control (C2) open source à destination des équipes red team et des simulations adversariales. Le projet est en phase alpha et n’a pas encore fait l’objet d’une revue de code complète. 🏗️ Architecture Lockjaw repose sur une architecture multi-composants : Teamserver : écrit en Rust (Tokio/Axum/Rustls), gère les checkins agents, la distribution de tâches, les listeners et la persistance via SQLite. Intègre un pipeline de cross-compilation à la demande via Zig. Implant : écrit en Zig, ciblant x86_64-windows, sans dépendance externe au C-runtime. Stagers : assembleur x64 position-independent (PIC) et cradles PowerShell. Operator CLI : interface TUI asynchrone en Python 3 (prompt_toolkit). 🛡️ Techniques d’évasion Indirect Syscalls (Hell’s Gate + Halo’s Gate) : extraction des SSNs depuis ntdll.dll en mémoire via hachage DJB2, avec scanning des voisins pour récupérer les syscalls hookés. Ghost AMSI Bypass : neutralisation d’AMSI via Hardware Breakpoints (DR0/DR7) et Vectored Exception Handling, sans modification de la mémoire .text. IAT-Clean & Dynamic API Resolution : zéro import statique pour les APIs sensibles, résolution dynamique via parcours du PEB et hachage DJB2. Communications chiffrées RC4 : chiffrement symétrique de toutes les communications agent-teamserver. Self-Destruct : suppression du binaire via commande détachée asynchrone. 💉 Injection de processus Reflective Manual Mapping (migrate <pid> reflective) : mapping PE dans un processus distant via sections mémoire partagées (NtCreateSection + NtMapViewOfSection), sans NtAllocateVirtualMemory/NtWriteVirtualMemory. PoolParty Injection (migrate <pid> reflective_poolstomp) : exploitation des worker factories de thread pool (TpWorkerFactory) via NtSetInformationWorkerFactory, sans création de thread distant (contourne Sysmon Event ID 8). 📡 Transports HTTP/HTTPS : listener Axum/Rustls avec support du domain fronting via header Host personnalisé. DNS Tunneling : tunneling DNS covert via requêtes TXT autoritatives, payload encodé en Base32 + RC4 dans les sous-domaines. 🔧 Post-exploitation Exécution de Beacon Object Files (BOF) AMD64 en mémoire avec loader COFF intégré. Commandes de reconnaissance : ps, whoami, ipconfig, sc_enum, sc_query, pid. Gestion de fichiers : ls, cat, rm, upload, download. Exécution shell via cmd.exe /c sans fenêtre. 📌 Type d’article Il s’agit d’une publication de nouveaux outils offensifs open source, dont le but principal est de documenter les capacités et l’utilisation du framework C2 Lockjaw pour des opérations red team. ...

Cet article de recherche publié par l’équipe de recherche sur les menaces de Splunk explore les tactiques d’évasion et l’évolution du malware XWorm, un cheval de Troie d’accès à distance (RAT) utilisé par des cybercriminels. XWorm est connu pour sa capacité à enregistrer les frappes clavier, accéder à distance à un bureau, exfiltrer des données et exécuter des commandes. Il est souvent utilisé par des acteurs malveillants ciblant les chaînes d’approvisionnement logicielles et l’industrie du jeu vidéo. Une campagne notable a vu XWorm utilisé en tandem avec AsyncRAT pour déployer des charges utiles de ransomware LockBit Black. ...

Selon un article publié par Deep Instinct, une nouvelle technique d’évasion utilisant des expressions régulières (regex) dans des attaques basées sur Microsoft Office a été découverte. Les documents Office sont souvent utilisés dans les cyberattaques en raison de leur fiabilité apparente et de leur capacité à intégrer du code malveillant. Les documents Office peuvent exploiter des techniques avancées telles que l’injection de modèles distants et les macros obfusquées, permettant aux attaquants de contourner la détection des antivirus et de déployer des charges utiles en plusieurs étapes, telles que des ransomwares ou des logiciels de vol d’informations. ...