14/10/2024
Ejercicios del Equipo Rojo #26 - Syswhisper3 - (in)Herramienta de llamada directa al sistema
SysWhispers es una herramienta enfocada a los sistemas operativos Windows que facilita la invocación (in)directa de llamadas al sistema. Al realizar llamadas al sistema (in)directamente, los desarrolladores pueden omitir las llamadas API estándar, lo que puede ser útil para la manipulación del sistema de bajo nivel y el desarrollo de rootkits.
SysWhispers3 introduce mejoras con respecto a sus versiones anteriores mediante la realización de llamadas al sistema (in)directas. En lugar de invocar directamente las llamadas al sistema, busca la dirección de la instrucción de la llamada del sistema dentro del espacio de direcciones ntdll y salta a esa instrucción. También incluye un "aleatorizador de puentes", que busca instrucciones de llamada al sistema de funciones aleatorias y salta a ellas. En resumen, la instrucción es parte de otra función, agregando una capa adicional de sigilo.
Enlace del proyecto: https://lnkd.in/evUy2_aK
Artículo Maestro
https://lnkd.in/d6HGV8qG
Figura 1: Clonación del repositorio SysWhispers3
$ git clonar https://lnkd.in/evUy2_aK
Figura 2: Ejecución del script syswhispers.py con el parámetro --preset all, generando llamadas al sistema para todas las funciones.
$ python3 syswhispers.py --preset all -o syscalls_all
Figura 3: Implementación de ensamblado de la llamada al sistema NtAllocateVirtualMemory.
Figura 4: Generación de llamadas al sistema para funciones específicas, NtProtectVirtualMemory y NtWriteVirtualMemory.
$ python3 syswhispers.py --functions NtProtectVirtualMemory,NtWriteVirtualMemory -o syscalls_mem
Figura 5: Visualización de las instrucciones de llamada del sistema para NtProtectVirtualMemory y NtWriteVirtualMemory.
Para obtener más detalles sobre SysWhispers3:
https://lnkd.in/eP7T8wAq por im0s
https://lnkd.in/eFX37Ecj por Hadess
SysWhispers3 es una excelente herramienta para implementar técnicas de llamadas al sistema (in)directas. Por supuesto, podría beneficiarse de mejoras si lo que buscas es una evasión EDR/AV más robusta. Quién sabe, ¿tal vez un SysWhispers4 esté en el horizonte?
Puestos de ejercicios del Equipo Rojo: https://lnkd.in/dMBfz-Sp
Nota: La llamada directa al sistema se utiliza en Syswhispers2
https://lnkd.in/efNgJ5ke
hashtag hashtag hashtag hashtag hashtag hashtag hashtag