💻 CODASM — новый инструмент для маскировки shell-кода в бинарных файлах

Компания NVISO недавно открыла исходный код своего нового инструмента CODASM, предназначенного для кодирования произвольных данных в псевдо-ASM-инструкции и их компиляции в раздел .text двоичных файлов. Этот шаг нацелен на повышение безопасности и устойчивости данных к анализу. CODASM скрывает данные, такие как шелл-коды, в высокоэнтропийных участках бинарных файлов, делая их менее заметными для защитных механизмов.

CODASM является Python-скриптом, который генерирует легитимно выглядящий шеллкод для любых произвольных полезных нагрузок и создает заголовочный файл на языке C, который можно использовать в программах для встраивания шеллкода в бинарные файлы и его извлечения во время выполнения.

Процесс кодирования полезных нагрузок с помощью CODASM включает:

— Генерацию валидных функций x86_64 с прологами, эпилогами и случайными инструкциями.

— Встраивание байтов полезной нагрузки в операнды инструкций (например, mov eax, <4 байта полезной нагрузки>).
Шифрование встроенных байтов полезной нагрузки с помощью XOR.

Процесс декодирования полезных нагрузок включает:

— Парсинг отдельных инструкций до извлечения необходимого количества байтов полезной нагрузки.

— Обнаружение инструкций, содержащих байты полезной нагрузки, их извлечение и расшифровка.

🖥 GitHub

@linuxkalii