SigFlip

SigFlip 是一个用于修补经 Authenticode 签名的 PE 文件（exe、dll、sys 等）的工具，这种方式不会影响或破坏现有的 Authenticode 签名，换句话说，您可以通过嵌入数据（即 shellcode）来更改 PE 文件的校验和/哈希值，而不会破坏文件签名、完整性检查或 PE 文件的功能。 SigInject 会对 PE 文件的 [WIN_CERTIFICATE] 证书表进行加密并注入 shellcode，加密密钥会用于与基本的 BOF/C/C# 加载器（SigLoader）一起使用。 SigInject 会将修改后的 PE 文件保存下来，并保持其签名和证书的有效性。

SigLoader 是一个基本加载器,它接受 SigInject 创建的修改后的 PE 文件路径和解密密钥作为参数,然后提取和解密嵌入的 shellcode,以便与选择的 shellcode 注入一起使用。SigFlip 会检查 PE 哈希是否已成功更改,并且在端点针对这种常见的配置错误进行加固时,也会检查并安全退出(请查看"详细信息"部分)。快速说明: SigFlip、SigInject 和 SigLoader 都可作为 BOF 脚本和 .NET 组件提供,唯一的区别是,如果您选择使用 .NET 文件而非 BOF,SigInject 的功能将作为 SigFlip 的一部分实现(-i)。

它主要用于持久性、横向移动或代码/命令执行,并可帮助实现以下功能:

• 应用程序白名单绕过,改变 PE 文件哈希(例如 msbuild.exe),而不会破坏签名。 * 绕过依赖特定 LOLBIN 哈希进行恶意代码/命令执行检测的 EDR。 * 使用不同哈希加载签名的驱动程序,可能有助于避免任何监视使用预定义哈希列表的常见易受攻击的签名驱动程序的 EDR。 * 在签名的 PE 文件中嵌入加密的 shellcode,并使用您偏好的签名加载器(例如 sigloader)来解析、解密、加载和执行它。 * 终端安全供应商通常将签名的 PE 文件归类为无害,在签名的 PE 文件中嵌入您的未签名代码(例如 shellcode ..etc.)会使其更难以检测/标记。 * 绕过主要依赖默认 WinVerifyTrust 进行签名的终端安全供应商。