variant

Golang Malware Framework

Description

本项目会不断添加各种免杀的技术，但是不适合直接不做任何修改的编译和使用，即使是有随机特征的编译

Docs：Install | variant，Usage | variant

Update

2024.12.30

说明文档更新：安装和代码使用

2024.12.19

hook，新增AMSIByPass()，进程选择powershell.exe即可
crypto，新增中文加密Buddha()
sandbox，新增时区判断IsBeijingTimezone()
新增inject注入模块，AddressOfEntryPointInject()、CreatRemoteThreadInject()
TODO：删除wdll模块，使用衍生库 C1ph3rX13 | xwindows

2024.10.18

更新SigTheif，简化代码逻辑，更换读取文件的方法
更新渲染模板 v6，更换调用逻辑
demo更新适配 v6 渲染模板

2024.9.26

新增gores模块，支持自定义文件的资源信息和复制其他对象资源信息（todo：ICON随机Hash）

// 自定义资源信息，修改 variant/gores/render.go 中的 func NewResDate()
// 推荐使用下面 Extract() 方法直接复制指定对象的资源信息和文件
func NewResDate() ResDate {
	goRes := ResDate{
		ICOName:                           "icon.png",
		Name:                              "WPS Office",
		Version:                           "12.1.0.16399",
		Description:                       "WPS Office",
		MinimumOs:                         "win7",
		ExecutionLevel:                    "requireAdministrator",
		UIAccess:                          false,
		AutoElevate:                       true,
		DpiAwareness:                      "system",
		DisableTheming:                    false,
		DisableWindowFiltering:            false,
		HighResolutionScrollingAware:      false,
		UltraHighResolutionScrollingAware: false,
		LongPathAware:                     false,
		PrinterDriverIsolation:            false,
		GDIScaling:                        false,
		SegmentHeap:                       false,
		UseCommonControlsV6:               false,
		FixedFileVersion:                  "12.1.0.16399",
		FixedProductVersion:               "WPS Office",
		Comments:                          "",
		CompanyName:                       "",
		FileDescription:                   "WPS Office",
		FileVersion:                       "12.1.0.16399",
		InternalName:                      "",
		LegalCopyright:                    "Copyright©2024 Kingsoft Corporation. All rights reserved.",
		LegalTrademarks:                   "",
		OriginalFilename:                  "wps_host.exe",
		PrivateBuild:                      "",
		ProductName:                       "WPS Office",
		ProductVersion:                    "WPS Office",
		SpecialBuild:                      "",
	}

	return goRes
}

// 渲染输出 winres.json 文件
// 将 ICON 和 winres.json 放置在编译目录的 winres 文件夹中即可
winres := gores.ResTmpl{
		ResPath:   "gores/gores.tmpl",
		OutputDir: "output",
	}

	err := winres.ResRender()
	if err != nil {
		panic(err)
	}

更新gores编译方法，从build模块中分离，新增资源提取方法Extract()

    // 添加图标和文件信息
	winres := gores.GoWinRes{
		CompilePath: "output",          // 指定编译目录
		ExtractFile: "Code.exe",        // 指定提取资源文件的对象
		ExtractDir:  "",                // 指定提取资源文件后输出的路径
		PatchFile:   cOpts.ExeFileName, // 指定使用 Patch 添加资源文件的对象
	}

	// 提取 vscode 所有的资源文件
	err = winres.Extract()
	if err != nil {
		log.Fatal(err)
	}

	// 使用 Patch 添加资源文件到编译后的程序
	err = winres.HandleWinRes()
	if err != nil {
		log.Fatal(err)
	}

资源提取方法Extract()实现的效果

winres

2024.8.15

更新render模块，支持新增的cloader，模板渲染调用结构体优化
更新渲染模板v5，支持新增的cloader
demo更新，适配其他模块的更新
Hide Cmd隐藏执行窗口的函数移动到sandbox模块
DLL渲染模板和调用方式更新

2024.8.14

cloader模块新增 23 个CGO类型 loader
跟随编译需求更新initialize.bat，新增依赖检查
xwindows模块文档完善，新增 20+ API （详情见：xwindows 仓库）

2024.8.13

新增cloader模块，使用CGO调用C，代码更简洁

2024.7.20

enc模块改名encoder
encoder模块新增降熵方法ReduceEntropy()、恢复方法ReverseEntropy()
render模块TmplRender()方法更新，符合整体设计逻辑

func (tOpts TmplOpts) TmplRender() error {}

wdll模块更新，添加更多API

2024.6.26

hook模块重构，现支持etwpatch，selfdelete
dynamic模块重构，现支持获取任意URL资源 SHA256 的指定切片，新增对AES和DES Key和IV生成位数限制
network模块优化，所有的请求方式均支持代理（可选），优化客户端的仿真设置

2024.5.13

新增DLL编译：指定DllBase.tmpl模板，使用BuildMode: "c-shared"
新增DLL渲染模板：DllBase.tmpl
新增DLL编译demo，查看demo下GoDLL文件夹

2024.4.1

新增计划任务隐藏
- 修改 Index 为 0 隐藏：IndexToZero()
- 修改/删除 SD 项：ChangeSD() & DeleteSD()
- 删除注册表文件夹 SD 项：DeleteSD()
- 删除注册表中的计划任务文件&文件夹：RegDeleteTaskDir()
- 删除计划任务XML文件：DeleteTaskDir() & DeleteTaskFile()

RegTasks

2024.3.25

优化alive自动维权模块：WinTaskXML(), SetWinTask()

2024.3.21

新增alive自动维权模块，现支持注册表启动项，计划任务COM API
文档更新

2024.3.19

更新自删除，将hook.SelfDelete()置于loader,inject方法之前即可

selfdelete

新增hashdump功能
更新demo

2024.3.12

新增initialize.bat，自动配置项目依赖项，移除go.mod, go.sum
新增反沙箱：Beep，利用该方法达到Sleep的效果
wdll模块同步更新

2024.2.28

remote模块改名为network
新增多种加密：elliptic_curve，morse，pokemon，rot13，rot47
模板更新V4 Base.tmpl：兼容全部渲染方式（参数加载暂时除外）
加载模块更新：ADsMemLoad
remder模块同步更新
enc模块新增：PokemonStrings，pokemon加密专用方法；修改其他加密的兼容性

2024.2.20

新增loader：ipv4, macaddress, enumsystemlocales + Hell's Gate + Halo's Gate technique
Dll模块重构调用方式，特征更新
新增hook模块，Hook函数检测，ETW Patch，权限检测/提权

2024.2.18

新增loader：EnumerateLoadedModulesLoad, EnumChildWindowsLoad, EnumPageFilesWLoad
Dll模块根据loader同步更新
新增garble编译参数：-tiny
新增构建模式：-buildmode，详情执行go help buildmode查看
新增FileAnalyzer方法，计算文件的特征：entropy, md5, sha1, sha256, sha512