OSX persistent Backdoor mit Empire Framework und Bash Bunny

Post-Exploitation Frameworks werden immer dann eingesetzt, wenn Penetrationstester schon Zugriff auf ein Zielnetzwerk haben und von hier weitere Angriffe auf dem IT-Gerät oder im Netzwerk ausführen möchten.
Ich habe in diesem Zusammenhang schon mehrfach über das Empire Framework berichtet. Es ist seit seiner Vorstellung während der BSides in Las Vegas im Juli 2015 ständig weiterentwickelt worden.
Zum gegenwärtigen Zeitpunkt liegt das Werkzeug in der Version 2.1 vor. Mittlerweile sind die bisherigen Projekte PowerShell Empire und Python EmPyre zusammengeführt und enthalten neben den reinen PowerShell2.0 Windows Agenten nun auch Python 2.6 / 2.7 Linux und OSX Agenten. Das Framework bietet eine kryptologisch sichere Kommunikation und eine flexible Architektur.

In diesem Beitrag möchte ich zeigen, wie man mit Hilfe des Empire Frameworks eine dauerhafte Hintertür in OSX erzeugen kann, sie mit dem Bash Bunny auf ein Zielsystem überträgt (Inject) und auch wieder löscht (Cleanup). Insgesamt müssen 4 Dateien erstellt werden. Wir gehen dazu Schritt für Schritt vor.

Wer noch nicht mit dem Empire Framework vertraut ist, den empfehle ich vorangegangen Beiträge oder meine Artikel in der Zeitschrift iX.  Das Framework lässt sich auf einem Linux System leicht installieren.

WeiterlesenOSX persistent Backdoor mit Empire Framework und Bash Bunny

Digispark – die USB Rubber Ducky Alternative (Teil3)

Im ersten Teil des Tutorials wurde beschrieben, wie eine Entwicklungsumgebung für den Digispark unter Window eingerichtet werden kann. Im darauf folgenden Artikel habe ich gezeigt, dass der Digispark einen USB Rubber Ducky ersetzen kann. Auch wenn die Platine viel kleiner ist und längst nicht die Möglichkeiten des Ducky hat, konnten wir den „15 Sekunden Passwort Hack“ mit ihr umsetzen.

Die Platine lässt sich auch für Penetrationstests unter Linux einsetzen, wie das folgende Beispiel zeigen wird. Folgendes Szenario wäre denkbar:

Auf einem Linux System wird Ubuntu mit grafische Oberfläche eingesetzt. Sobald die Platine in eine freie USB-Schnittstelle gesteckt wird, beginnt der PC einen Schadcode vom Angreifer herunterzuladen. Dieser wird auf dem Linux-System ausgeführt damit eine permanente (reverse) Verbindung zum Angreifer hergestellt. Da dieser Verbindung aus verschiedenen Gründen schon mal unterbrochen werden kann, ist eine Schleife eingebaut, die diese Verbindung nach einer vorgegebenen Zeitspanne neu einrichtet. Man hat quasi eine Hintertür (Backdoor) im Linux-System geschaffen, die immer erneuert wird. Egal ob der Angreifer sich im lokalen Netzwerk oder im Internet befindet – er hat immer eine permanente Meterpreter-Verbindung und kann mit den Rechten des angemeldeten Nutzers weitere Befehle ausführen (Post-Exploitation).

Der Angreifer nutzt Kali Linux in der aktuellen Version, das Metasploit-Framework und Apache als Webserver. Auf dem Linux-System wird Ubuntu 16.04 LTS und Unity eigesetzt. Dieses Szenario lässt sich auch mit wenigen Änderungen auf einem Linux-Server einsetzen.

WeiterlesenDigispark – die USB Rubber Ducky Alternative (Teil3)

Backdoor-Factory mit Veil-Evasion und Metasploit nutzen

Bereits im Buch “Penetration Testing mit Metasploit” bin ich im Kapitel 5.9  auf das folgende Thema eingegangen. Hier wurde  versucht, in das Programm BgInfo.exe von Windows Sysinternals ein Trojanisches Pferd einzubetten. Im folgenden Beitrag möcht ich zeigen, dass sich auch auf diesem Gebiet einiges getan hat und das die Möglichkeiten zur Verschleierung solcher Angriffe immen noch unterschätz werden. Viele Anwender wiegen sich in Sicherheit und hoffen, dass solche Angriffe vom installierten Virenschutzprogramm bzw. der Fierwall erkannt und abgewehrt werden.

Die im Buch beschrieben Methode war recht umständlich und das so erzeugte Trojanische Pferd wurde auch von vielen Virenschutzprogrammen erkannt. Hier wird gezeigt, wie man die Tools Backdoor-Factory und Veil-Evasion nutzen kann, um die Arbeit eines Penetration Testers zu erleichten.

WeiterlesenBackdoor-Factory mit Veil-Evasion und Metasploit nutzen