木马免杀实践-golang

0x01 简介

这里以github上一个golang免杀项目为例，项目地址：https://github.com/yumusb/CS-Loader/tree/master/go%E7%89%88%E6%9C%AC，原项目使用方法如下，根据其要求生成cobaltstrike木马后，上传virustotal，免杀效果已经比较差了，且生成木马大小为5.9M，比较大。

0x02 解读原项目

原项目–python加密部分
此项目加密shellcode采用的方式是base64 -> RC4加密 -> base64，加密完成后，将返回的shellcode追加到事先准备好的图片中。

原项目–Golang解密部分
解密部分主要是通过get请求获取图片内容，分割图片获取shellcode，再进行base64解密 -> RC4解密 -> base64解密。

0x03 修改项目

思路：
这里我们可以考虑修改原项目图床的加密方式，猜测各类杀软可能对这种shellcode的获取方式进行了特征提取，因此我们可以尝试通过以下几个方面进行修改。
1.将原项目图床shellcode加载改为本地加载。
2.用rc4对shellcode加密时，拼接一段垃圾数据，在golang解密时通过分割去除垃圾数据。

生成cobaltstrike C64位shellcode，将shellcode填到脚本中。
注释源项目图片追加shellcode的代码，直接将拼接脏数据的shellcode打印出来。

注释get请求相关的代码，直接将python加密生成的shellcode赋值给“raw”变量。以特定值分割脏数据，获取shellcode。

编译生成木马。
命令：go build -ldflags=“-H windowsgui” xxx.go（带上这些选项生成的木马不会弹出黑框。）

效果：

木马virustotal查杀对比：
VT的还是查出了9个，但基本都为国外杀软，应对国内杀软已经足够啦。