Hinweis auf verfuegbaren Angriffscode: metasploit+10
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
mkPIVM — Generate polymorphic, position-independent virtual machines (PIVMs) from arbitrary x86/x64 shellcode.
Generate polymorphic, position-independent virtual machines (PIVMs) from arbitrary x86/x64 shellcode. · Sprache: C++ · Topics: cobalt-strike, exploit, exploitation, havoc, malware, metasploit · ⭐ 10 Stars
SecBoard-Einordnung
Dieses Tool ermöglicht die Erstellung von hochentwickelter, schwer erkennbarer Malware, indem es Shellcode in virtuelle Maschinen kapselt. Dies erschwert die statische und dynamische Analyse durch Sicherheitstools und Analysten erheblich, da die eigentliche Nutzlast erst zur Laufzeit in einer virtuellen Umgebung ausgeführt wird.
Realistisch schlimmster Fall: Angreifer könnten mkPIVM nutzen, um ihre Shellcode-Nutzlasten so zu verschleiern, dass sie herkömmliche Erkennungsmethoden umgehen. Dies könnte zu einer erhöhten Erfolgsquote von Exploits und einer längeren Verweildauer von Malware in kompromittierten Systemen führen, bevor sie entdeckt wird.
Empfehlung: Organisationen sollten ihre Erkennungsmechanismen auf die Identifizierung von ungewöhnlichem Code-Verhalten und die Ausführung von virtuellen Maschinen innerhalb von Prozessen überprüfen. Implementierung von Verhaltensanalyse und Sandboxing kann helfen, solche fortgeschrittenen Techniken zu erkennen.
Im erfassten Bestand
- ▸3. erfasste Meldung zu Havoc innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Prüfen
3- ▸Überprüfen Sie, ob Ihre EDR/XDR-Lösungen in der Lage sind, die Erstellung und Ausführung von virtuellen Maschinen innerhalb von Prozessen zu erkennen.
- ▸Validieren Sie, ob Ihre Sandboxing-Lösungen in der Lage sind, polymorphe Shellcode-Ausführung zu identifizieren, die in PIVMs gekapselt ist.
▸ 1 weitere▾ weniger
- ▸Testen Sie Ihre statischen und dynamischen Analyse-Tools auf ihre Fähigkeit, verschleierte Shellcode-Nutzlasten zu erkennen, die mit Techniken wie PIVMs erstellt wurden.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen Schwachstellen oder Systeme von PIVMs betroffen sein könnten.
- ▸Der Artikel gibt keine Informationen über die Verbreitung oder die tatsächliche Nutzung von mkPIVM in realen Angriffen.
- ▸Es werden keine konkreten Indikatoren für Kompromittierung (IOCs) genannt.
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Generate polymorphic, position-independent virtual machines (PIVMs) from arbitrary x86/x64 shellcode.“
„Generate polymorphic, position-independent virtual machines (PIVMs) from arbitrary x86/x64 shellcode.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.