veilフレームワークは、virustotalをバイパスするパックされた難読化されたバイナリを生成する必要がありますか？
私はベールフレームワークを使用して、適切な内部IDSシステムをテストしています。 Virustotalで8/53ヒットスコアを生成し、HyperionおよびPescramblerベールペイロードを介して実行する公開マルウェアサンプルを使用しました。
ただし、出力サンプルは、初期ヒットスコアを保持するか、（Hyperionの場合）増加します。これはベールフレームワークから予想される動作ですか？これは動的分析の存在によるものですか？
内部セキュリティテスト用に、バイパスの有効性が高い、パックされた難読化された実行可能ファイルを生成するための提案はありますか？
コメント投稿者のpaj28は正しいです。これらをVirusTotalに送信しないでください。 VMゲスト環境で具体的に対象としているHIPSおよびAVシステムに対してそれらをテストします。私はVagrantをPackerおよびBoxcutterツールと一緒に使用して、ラボで物事を「模擬」します。
ハイペリオンは素晴らしいですが、必ずしもペスクランブラーと組み合わせないでください。必要な暗号は2つではなく、1つだけです。理想的に必要なのは、HyperionとUPXなどの1つの暗号化プログラムと1つのパッカーです。さまざまなUPX形式と options を試してみてください。暗号化すると機能します。それが最も効率的で、十分なレーダーではありません。 2つのクリプターまたは2つのパッカーが多すぎて、「しきい値を超えています」。
もう1つの要素はMeterpreter（またはベースとなるインプラントのベースライン）です。特にWin32では、これは最良のインプラントではありません（一部が過剰に提供されます）。明らかにマルウェアであるW32依存関係が多すぎるため、機密機能が多すぎます。必要なのは、Cobalt Strike BeaconやSilent Break Security Throwback などの別のインプラントです。 2014年第4四半期と2015年第1四半期に私のお気に入りのスクリプトはveil_evasion.cnaです。それは公式ソースにあり、おそらくPowerSploitなどですが、元の作成者からのこの特定のプロジェクトを介して他のいくつかをロードできます https://github.com/HarmJ0y/Cortana