Trojan exploiting CodeCaves for AV bypass

ENG:

Interestingly, the /windows/exec payload generated via msfvenom is not detected by well-known antiviruses such as McAfee ,Kaspersky and TrendMicro when included in a legitimate executable such as calc.exe by exploiting a "Code Cave". 

What is a CodeCave ?

A code cave is an area of memory allocated but not exploited by an executable.

msfvenom -p /windows/exec CMD=mspaint.exe EXITFUNC=thread -f c -o shellcode.bin

msfvenom -p /windows/exec CMD=mspaint.exe EXITFUNC=thread -f raw -o <executable_name>,.exe

PS_1: The MSF framework is a widely used framework and therefore well known to AV vendors.

PS_2: The shellcode generated by the framework has not been obfuscated/modified in any way.

ITA:

E' interessante notare come il payload /windows/exec generato tramite msfvenom non venga rilevato da antivirus ben noti come McAfee ,Kaspersky e TrendMicro se incluso in un eseguibile legittimo come calc.exe sfruttando una "Caverna di codice".

Cos'è una Caverna di codice?

 Una Caverna di codice è un' area di memoria allocata ma non sfruttata da un eseguibile.

msfvenom -p /windows/exec CMD=mspaint.exe EXITFUNC=thread -f c -o shellcode.bin

msfvenom -p /windows/exec CMD=mspaint.exe EXITFUNC=thread -f raw -o <nome_eseguibile>,.exe

PS_1: Il framework MSF è un framework molto utilizzato e quindi ben noto ai vendor che producono AV.

PS_2: lo shellcode generato dal framework non è stato offuscato/modficato in alcun modo.