bluepigeonproject/blue-pigeonبلو بيجن هي أداة لاستخراج البيانات والوكيل تعتمد على البلوتوث لتمكين التواصل بين خادم التحكم والإدارة عن بُعد (C2) ومضيف مخترَق.
بلو بيجن: أداة تسريب البيانات عبر البلوتوث والبروكسي لفرق الاختراق الأحمر
بلو بيجن هي أداة تسريب بيانات وبروكسي تعتمد على البلوتوث لتمكين الاتصال بين خادم الأوامر والتحكم (C2) عن بُعد وجهاز مخترق.
مستوحاة من قدرة حمامة الصخر على حمل الرسائل عائدة إلى عشها، يحاكي بلو بيجن سلوك العودة ويوصل الرسائل/الحمولات بين الوكيل (الجهاز المخترق) وعشه (تطبيق الهاتف المحمول ثم توجيهها إلى خادم C2).
تم تطوير بلو بيجن كتطبيق أندرويد ليقوم فريق الاختراق الأحمر بنشره في محيط الجهاز المخترق، وهو مفيد بشكل خاص لعمليات الفريق الأحمر حيث أن الاتصالات عبر القنوات التقليدية (مثل الويب والبريد الإلكتروني وDNS) غير متاحة.
توسعاً لتقنية "تسريب البيانات عبر بروتوكول بديل" (المعرف: T1048) ضمن تكتيك التسريب لإطار MITRE AT&CK، يوفر بلو بيجن طريقة مبتكرة لإنشاء قيادة وتحكم وأداء تسريب البيانات كإجراء على الهدف في سلسلة القتل السيبراني باستخدام مشاركة الملفات عبر البلوتوث كوسيط للتسريب.
تم إنشاء بلو بيجن بواسطة @mahchiahui, @jingloon و @cloudkanghao
(المصدر: https://spectrum.ieee.org/tech-history/silicon-revolution/consider-the-pigeon-a-surprisingly-capable-technology)
إنشاء القيادة والتحكم وتسريب البيانات هما مرحلتان رئيسيتان في سلسلة القتل السيبراني، لكنهما غالباً ما يأتيان بتعقيداتهما وتداعياتهما الخطيرة إذا تم تنفيذهما بشكل خاطئ. في عملية فريق أحمر، قد تترك محاولة فاشلة آثاراً دائمة في سجلات نشاط الشبكة وتثير إنذار آليات الكشف.
في بعض تماريننا لفريق الاختراق الأحمر، وجدنا أنفسنا بحاجة إلى طريقة لتسريب البيانات والتواصل مع الجهاز المخترق دون الحاجة إلى المرور عبر القنوات التقليدية (مثل الويب والبريد الإلكتروني وDNS).
مع وجود حلول قليلة تلبي هذه الحاجة، استكشفنا أفكاراً متنوعة للتسريب تعتمد على ناقلات الاتصالات اللاسلكية/الراديوية. ونتيجة لذلك، تم إنشاء بلو بيجن لتوسيع مجموعة أدوات فريقنا الأحمر.
يعمل بلو بيجن كخدمة أمامية (foreground service) داخل هاتف أندرويد. عندما يقوم فريق الاختراق الأحمر/المخرب الداخلي بوضع الهاتف بالقرب من الجهاز المخترق (المصاب بحمولة بلو ديساباتشر)، سيتمكن بلو بيجن من العمل كنقطة تسريب ومرحّل أوامر إلى خادم C2 عن بُعد (يُعرف باسم Blue Coop).
انقر هنا لمشاهدة فيديو توضيحي لبلو بيجن أثناء العمل
تم تصميم بلو بيجن مع المتطلبات الرئيسية التالية:
يجب أن يسمح بلو بيجن بتسريب البيانات مع تجنب الكشف على مستويات مختلفة:
تجنب كشف حركة مرور الشبكة: لا يمكن أن يتم تسريب البيانات من الجهاز المخترق عبر قنوات الاتصال التقليدية لأنها على الأرجح ستُسجَّل وتُراقَب بواسطة أنظمة الكشف والاستجابة القياسية للنقاط الطرفية (EDR). (وهناك بالفعل خيارات أفضل أخرى، لماذا نعيد اختراع العجلة، أليس كذلك؟)
تجنب الكشف البشري: يجب أن يتم تسريب البيانات دون أي مؤشرات بصرية على جهاز الضحية، حيث يُتوقع أن يستمر في استخدام الجهاز المخترق في أسوأ السيناريوهات.
يجب أن يحافظ بلو بيجن على التخفي، أي البقاء غير واضح عند نشره في الميدان.
أجهزة اللابتوب الضخمة، Raspberry Pis ومجموعات الهاكر المنزلية هي ممنوعة تماماً لأنها تحد من إمكانيات وجدوى النشر. نحتاج إلى حمامة صغيرة وبريئة، وليس طاووساً متكبراً!
يختبئ بلو بيجن داخل هاتف أندرويد عادي يمكن لفريق الاختراق الأحمر/المخرب الداخلي حمله إلى الميدان. لا أحد يشك في هاتف محمول...
في الحالة النادرة التي يتم فيها تحدي فريق الاختراق الأحمر للتفتيش، يمكن تمويه بلو بيجن كتطبيق غير واضح يتناسب مع سياق العملية. في الإثبات الأساسي للمفهوم، تم تمويه تطبيق الهاتف المحمول كتطبيق محسن للبطارية. لا تتردد في عمل fork للمستودع وإعطاء بلو بيجن مظهراً جمالياً!
يجب أن يتجنب بلو بيجن التسبب في ظهور علامات تدل على محاولة تسريب أثناء وضع الهاتف من قبل فريق الاختراق الأحمر.
يجب أن يحافظ بلو بيجن على أقصى توافر للجهاز المخترق (وليس لغيره) أثناء نشره.
تم تصميم بلو بيجن كإطار من ثلاثة أجزاء يتكون من المكونات التالية:
بلو بيجن هو تطبيق أندرويد يعمل كوسيط بين الجهاز المخترق وخادم C2 (يُعرف باسم Blue Coop). يتواصل بلو بيجن مع الجهاز المخترق (المصاب بحمولة بلو ديساباتشر) عبر مشاركة الملفات التقليدية بالبلوتوث (باستخدام OBEX). يتم تسريب البيانات من الجهاز المخترق ككائنات JSON داخل ملفات نصية. يمكن تخصيص ذلك عن طريق تعديل فئة BluePigeonListener في الحزمة com.csg.bluepigeon.pigeon ويمكن توجيهها لاحقاً إلى Blue Coop عن بُعد. عند الاستلام، سيتم الاحتفاظ بنسخة من الرسالة أيضاً في دليل /sdcard/blue_pigeon/backup.
في هذا المستودع، يأتي بلو بيجن في شكل تطبيق بسيط لمحسن البطارية. ومع ذلك، يمكن تجديده بأنماط واجهة مستخدم أخرى. لا تتردد في تخصيص واجهة بلو بيجن لتناسب احتياجات عمليتك عن طريق تعديل الحزمة com.csg.bluepigeon.ui.
لا شيء لتراه هنا... مجرد تطبيق محسن بطارية بريء!
