Fernando Perera - Empaquetado para Regalo [rootedvlc2019]

1. Empaquetado Para
Regalo
www.layakk.com @layakk
Fernando Perera

2. Contenido
• Presentación
• Introducción
– Objetivo
– Análisis de UPX
– Antecedentes
• Manos a la obra
– Metodología de Trabajo
– Técnica Base
– Ideas Posteriores
• Resultados
• Mejoras y Conclusiones

3. Presentación
• Quien soy?
– Estudios:
• Ingeniería Informática (UAB)
• Máster Universitario en Seguridad TIC (UEM)
– Actualmente trabajando en LAYAKK:
• RedTeam
• Desarrollo de Herramientas
• Evaluación de Productos de Seguridad

4. INTRODUCCIÓN

5. Objetivo
Desarrollar una aplicación de código abierto que
ofusque ejecutables para que pasen
desapercibidos a los AV.

6. Análisis de UPX
• UPX: The Ultimate Packer for eXecutables
https://upx.github.io

7. Análisis de UPX

8. Análisis de UPX
• Ejecutable empaquetado:
• Sección “vacía”, no ocupa espacio en el Ejecutable.Espacio Libre
• Código del programa después de aplicarle el
algoritmo de compresión.
• Entry point y código con la rutina de descompresión.
Código
Comprimido y
Descompresor
• Recursos necesarios.Recursos

9. Análisis de UPX
• UPX
Código STUB
• Escrito en Ensamblador.
• Rutinas de desempaquetado para
diferentes arquitecturas.
• Proceso de “compilado”
• Dividido en secciones.
sección definida UPX
.section name
.code32
etiqueta ASM
Variable definida en C++

10. Análisis de UPX
• UPX
Código Programa
• Escrito en C/C++.
• Selecciona el STUB y sus secciones.
• Aplica el algoritmo de compresión.

11. Antecedentes
• Existen múltiples packers derivados de UPX
que siguen este propósito:
– UPXScrambler
– UPXFreak
– UPXSh!T
– UPXCrypter
– UPXModifier
• Existen técnicas conocidas de evasión de AV.

12. MANOS A LA OBRA

13. Metodología de Trabajo
• Se aplica una técnica.
• Se generan los 2 ficheros empaquetados.
• Se comprueba la tasa de detección usando
VirusTotal.
• Se evalúa su efectividad.

14. Ejecutable legítimo VS Ejecutable Malicioso
pwsafe.exe mimikatz.exe
Metodología de Trabajo

15. Técnica Base
• Empaquetar el ejecutable con UPX.
• Generar STUBs aleatorios.

16. Técnica Base
• Empaquetar el ejecutable con UPX.
pwsafe.exe mimikatz.exe
UPX

17. Técnica Base
• Empaquetar el ejecutable con UPX.
• Generar STUBs aleatorios.

18. Técnica Base
• Generar STUBs aleatorios.
UPX
UPX Stub
Aleatorio
GOTO Start Prog.
GOTO Start Prog. GOTO Start Prog.

19. UPX CHUCU
GOTO Start Prog.
Técnica Base
• Generar STUBs aleatorios.
UPX CHUCU
GOTO Start Prog. GOTO Start Prog.

20. Técnica Base
• Generar STUBs aleatorios.
UPX CHUCU

21. Técnica Base
• Generar STUBs aleatorios.
UPX CHUCU

22. UPX CHUCU
Técnica Base
• Generar STUBs aleatorios.
pwsafe.exe mimikatz.exe

23. • Ratio de detección demasiado elevado.
• Detalles del ejecutable:
Técnica Base: Resultados

24. Técnica Base: Resultados
• Ratio de detección demasiado elevado.
• Detalles del ejecutable:

25. Técnica Base: Resultados
• Ratio de detección demasiado elevado.
• Detalles del ejecutable:

26. UPX CHUCU
Ideas Posteriores
• Cifrado del código comprimido
• Cifrado de partes de la sección de recursos
• Bajar entropía de segunda sección

27. Ideas Posteriores
• Cifrado del código comprimido
UPX CHUCU
Cifrado de
Código

28. Ideas Posteriores
• Cifrado del código comprimido
pwsafe.exe mimikatz.exe
UPX CHUCU
Cifrado de
Código

29. UPX CHUCU
Cifrado de
Código
Cifrado de
Recursos
Ideas Posteriores
• Cifrado de partes de la sección de recursos

30. • Cifrado de partes de la sección de recursos
pwsafe.exe mimikatz.exe
UPX CHUCU
Cifrado de
Código
Cifrado de
Recursos
Ideas Posteriores

31. UPX CHUCU
Cifrado de
Código
Cifrado de
Recursos
Entropía
Ideas Posteriores
• Bajar entropía de segunda sección
– Gran cantidad de Texto plano
– Aleatorio

32. UPX CHUCU
Cifrado de
Código
Cifrado de
Recursos
Entropía
Ideas Posteriores
• Bajar entropía de segunda sección

33. UPX CHUCU
Cifrado de
Código
Cifrado de
Recursos
Entropía
Ideas Posteriores
• Bajar entropía de segunda sección

34. UPX CHUCU
Cifrado de
Código
Cifrado de
Recursos
Entropía
Ideas Posteriores
• Bajar entropía de segunda sección
pwsafe.exe mimikatz.exe

35. Selección Artificial
de Secciones
Chucu-Chucu...
Carga de Secciones
Personalizadas
Cifrado de Código
Reducción de
Entropía
Cifrado de Recursos Empaquetado
El programa final

36. El programa final

37. Automatización de búsquedas
Obtener
Parámetros
Generar exe
Lanzar Análisis
contra VT
Obtener
Resultados
Actualizar
Mínimo
Inicializar
Parámetros
Comando de
Generación

38. RESULTADOS

39. Resultados
• Diferentes programas
Programa de Origen Sin Proc. Inicios de 2019 Actualidad
Mimikatz 54/68 9/71 21/68
Notepad++ 0/54 4/54 -
Pwsafe (Repo. de Claves) 0/71 - 11/68
Cerber (Ransomware) 58/65 16/68 32/69
VNC (Escritorio Remoto) 0/68 - 5/69

40. Resultados
• Diferentes programas

41. Espécimen 2
Detección 18~21 / 71
Espécimen 2
Detección 9~11 / 71
Resultados
• Evolución Temporal
Espécimen 1
Detección 9~11 / 71
Espécimen 1
Detección 18~21 / 71
Espécimen 1
Detección > 25 / 71
Espécimen 2
Detección > 25 / 71

42. MEJORAS Y CONCLUSIONES

43. Mejoras Pendientes
• Limpiar metadatos
• Crear retardo entre ejecución y descompresión
• (De cara a RT) Entrada de usuario para iniciar
descompresión

44. Mejoras Pendientes
• Aplicar técnicas Anti-Sandbox (redpills, detección de
librerias o procesos, detección de interacción
humana…)
• Dividir código cifrado en porciones
• Añadir motor de filtrado sobre AV en el programa de
optimización de la parametrización.

45. Conclusión
• El método de ofuscación implementado tiene una alta
efectividad contra detección del conjunto de AV en el
momento actual. ha funcionado durante un tiempo, no
obstante, debe ser actualizado.
• Parece que al final los AV hacen su trabajo…

46. Publicación
https://github.com/Layakk/chucu

47. ¿Preguntas?