X-AV

X系列安全工具-AV免杀框架-BypassAV

源码在知识星球RedTeaming

加载方式

• Syscall
• Uuid
• CreateFiber
• CreateProcessWithPipe
• EtwpCreateEtwThread
• 等

加密方式

• XOR
• RC4
• AES256

沙盒检测,动态防御

符号表混淆,静态分析防御

权限维持

权限维持功能目前还没有加入

生成伪造证书

有点多余,可选项。

使用方法

❯ ./X-AV -h

 ____  _          _ _  ____          _     _____           _
/ ___|| |__   ___| | |/ ___|___   __| | __|_   _|__   ___ | |___
\___ \| '_ \ / _ \ | | |   / _ \ / _` |/ _ \| |/ _ \ / _ \| / __|
___) | | | |  __/ | | |__| (_) | (_| |  __/| | (_) | (_) | \__ \
|____/|_| |_|\___|_|_|\____\___/ \__,_|\___||_|\___/ \___/|_|___/

Version 1.0-RedTeamWing
						Loader Method:
						CreateFiber
						Syscall
						CreateProcess
						CreateProcessWithPipe
						CreateRemoteTread
						CreateRemoteTreadNative
						CreateThread
						CreateThreadNative
						UUIDFromString
						RtlCreateUserThread
						EtwpCreateEtwThread

						Encryption Method:
						Xor
						AES256
						RC4

Usage of ./X-AV:
  -domain string
    	fake domain
  -encrypt string
    	chose encryption (default "hex")
  -key string
    	encryption key (default "1314")
  -loadermethod string
    	选择shellcode加载方式 (default "CREATEFIBER")
  -o string
    	output path (default "boomsec.exe")
  -password string
    	fake domain cert password (default "201314")
  -persistence
    	Persistence[True or False]
  -salt string
    	aes 加密的salt
  -sandbox
    	Bypass Sandbox Check (default true)
  -shellcodepath string
    	shellcode path (default "shellcode.bin")
  -v	display detail infomation

XOR加密

每种加密都支持前面五种加载方法

./X-AV -shellcodepath cdn.bin -o xor.exe -key wing -encrypt xor  -loadermethod uuid

AES加密

aes需要加salt

./X-AV -shellcodepath cdn.bin -o aes.exe -key wing -encrypt aes  -loadermethod uuid -salt wing

RC4

./X-AV -shellcodepath cdn.bin -o rc4.exe -key wing -encrypt rc4  -loadermethod uuid

测试结果

对象：WindowsDefender 基本测试这个AV就行了