一分钟免杀cobaltstrike

简要介绍

• 本次利用到的是Nim语言

1. Nim 是一门开源的编程语言
2. Nim 的独到之处在于它可以编译成其他编程语言代码（主要是 C 语言和 JavaScript）
3. 将 Nim 与 C 语言或 JavaScript 代码集成在一起可以获得最大的价值
4. Nim 可以生成高质量的 C 语言代码，避免出现 C 语言的典型错误（如内存泄露和数组指针错误）

下载Nim安装包

https://nim-lang.org/install.html

官方提供Windows、Linux、Mac版本，根据自己的需求进行下载 本次使用Windows环境做演示

下载解压后需将bin目录添加到环境变量

安装C、C++编译器

Nim编译器需要C编译器才能编译软件

下载地址

https://github.com/GorvGoyl/MinGW64/releases

将文件解压到nim目录的dist路径下，并将D:/nim-1.4.8/dist/MinGW64/bin添加至环境变量

encryption编译

下载地址

https://github.com/aeverj/NimShellCodeLoader/releases

下载解压后进入NimShellCodeLoader_Winx64/NimShellCodeLoader/encryption目录，利用下面的代码进行编译

nim c -d:release --opt:size Tdea.nim
nim c -d:release --opt:size Caesar.nim

免杀详情

利用Nim+NimShellCodeLoader可以有10多种免杀方式绕过全网杀软，这里演示其中一种

cobaltstrike生成raw格式64位的payload.bin文件

打开codeLoader.exe图形化界面，将payload.bin直接拖进来

这里选择的是直接加载TDEA —  Direct Load

选好加载方式和加密方式，点击generate即可导出

输出生成的可执行文件在NimShellCodeLoader_Winx64/NimShellCodeLoader/bin目录

最终效果

本地测试火绒、360、管家等均可免杀，并附上VT和CS正常上线结果