bluepigeonproject/blue-pigeonبلو بيجن هي أداة لاستخراج البيانات والوكيل تعتمد على البلوتوث لتمكين التواصل بين خادم التحكم والإدارة عن بُعد (C2) ومضيف مخترَق.
بلو بيجن: أداة تسريب البيانات عبر البلوتوث والبروكسي لفرق الاختراق الأحمر
بلو بيجن هي أداة تسريب بيانات وبروكسي تعتمد على البلوتوث لتمكين الاتصال بين خادم الأوامر والتحكم (C2) عن بُعد وجهاز مخترق.
مستوحاة من قدرة حمامة الصخر على حمل الرسائل عائدة إلى عشها، يحاكي بلو بيجن سلوك العودة ويوصل الرسائل/الحمولات بين الوكيل (الجهاز المخترق) وعشه (تطبيق الهاتف المحمول ثم توجيهها إلى خادم C2).
تم تطوير بلو بيجن كتطبيق أندرويد ليقوم فريق الاختراق الأحمر بنشره في محيط الجهاز المخترق، وهو مفيد بشكل خاص لعمليات الفريق الأحمر حيث أن الاتصالات عبر القنوات التقليدية (مثل الويب والبريد الإلكتروني وDNS) غير متاحة.
توسعاً لتقنية "تسريب البيانات عبر بروتوكول بديل" (المعرف: T1048) ضمن تكتيك التسريب لإطار MITRE AT&CK، يوفر بلو بيجن طريقة مبتكرة لإنشاء قيادة وتحكم وأداء تسريب البيانات كإجراء على الهدف في سلسلة القتل السيبراني باستخدام مشاركة الملفات عبر البلوتوث كوسيط للتسريب.
تم إنشاء بلو بيجن بواسطة @mahchiahui, @jingloon و @cloudkanghao
(المصدر: https://spectrum.ieee.org/tech-history/silicon-revolution/consider-the-pigeon-a-surprisingly-capable-technology)
إنشاء القيادة والتحكم وتسريب البيانات هما مرحلتان رئيسيتان في سلسلة القتل السيبراني، لكنهما غالباً ما يأتيان بتعقيداتهما وتداعياتهما الخطيرة إذا تم تنفيذهما بشكل خاطئ. في عملية فريق أحمر، قد تترك محاولة فاشلة آثاراً دائمة في سجلات نشاط الشبكة وتثير إنذار آليات الكشف.
في بعض تماريننا لفريق الاختراق الأحمر، وجدنا أنفسنا بحاجة إلى طريقة لتسريب البيانات والتواصل مع الجهاز المخترق دون الحاجة إلى المرور عبر القنوات التقليدية (مثل الويب والبريد الإلكتروني وDNS).
مع وجود حلول قليلة تلبي هذه الحاجة، استكشفنا أفكاراً متنوعة للتسريب تعتمد على ناقلات الاتصالات اللاسلكية/الراديوية. ونتيجة لذلك، تم إنشاء بلو بيجن لتوسيع مجموعة أدوات فريقنا الأحمر.
يعمل بلو بيجن كخدمة أمامية (foreground service) داخل هاتف أندرويد. عندما يقوم فريق الاختراق الأحمر/المخرب الداخلي بوضع الهاتف بالقرب من الجهاز المخترق (المصاب بحمولة بلو ديساباتشر)، سيتمكن بلو بيجن من العمل كنقطة تسريب ومرحّل أوامر إلى خادم C2 عن بُعد (يُعرف باسم Blue Coop).
انقر هنا لمشاهدة فيديو توضيحي لبلو بيجن أثناء العمل
تم تصميم بلو بيجن مع المتطلبات الرئيسية التالية:
يجب أن يسمح بلو بيجن بتسريب البيانات مع تجنب الكشف على مستويات مختلفة:
تجنب كشف حركة مرور الشبكة: لا يمكن أن يتم تسريب البيانات من الجهاز المخترق عبر قنوات الاتصال التقليدية لأنها على الأرجح ستُسجَّل وتُراقَب بواسطة أنظمة الكشف والاستجابة القياسية للنقاط الطرفية (EDR). (وهناك بالفعل خيارات أفضل أخرى، لماذا نعيد اختراع العجلة، أليس كذلك؟)
تجنب الكشف البشري: يجب أن يتم تسريب البيانات دون أي مؤشرات بصرية على جهاز الضحية، حيث يُتوقع أن يستمر في استخدام الجهاز المخترق في أسوأ السيناريوهات.
يجب أن يحافظ بلو بيجن على التخفي، أي البقاء غير واضح عند نشره في الميدان.
أجهزة اللابتوب الضخمة، Raspberry Pis ومجموعات الهاكر المنزلية هي ممنوعة تماماً لأنها تحد من إمكانيات وجدوى النشر. نحتاج إلى حمامة صغيرة وبريئة، وليس طاووساً متكبراً!
يختبئ بلو بيجن داخل هاتف أندرويد عادي يمكن لفريق الاختراق الأحمر/المخرب الداخلي حمله إلى الميدان. لا أحد يشك في هاتف محمول...
في الحالة النادرة التي يتم فيها تحدي فريق الاختراق الأحمر للتفتيش، يمكن تمويه بلو بيجن كتطبيق غير واضح يتناسب مع سياق العملية. في الإثبات الأساسي للمفهوم، تم تمويه تطبيق الهاتف المحمول كتطبيق محسن للبطارية. لا تتردد في عمل fork للمستودع وإعطاء بلو بيجن مظهراً جمالياً!
يجب أن يتجنب بلو بيجن التسبب في ظهور علامات تدل على محاولة تسريب أثناء وضع الهاتف من قبل فريق الاختراق الأحمر.
يجب أن يحافظ بلو بيجن على أقصى توافر للجهاز المخترق (وليس لغيره) أثناء نشره.
تم تصميم بلو بيجن كإطار من ثلاثة أجزاء يتكون من المكونات التالية:
بلو بيجن هو تطبيق أندرويد يعمل كوسيط بين الجهاز المخترق وخادم C2 (يُعرف باسم Blue Coop). يتواصل بلو بيجن مع الجهاز المخترق (المصاب بحمولة بلو ديساباتشر) عبر مشاركة الملفات التقليدية بالبلوتوث (باستخدام OBEX). يتم تسريب البيانات من الجهاز المخترق ككائنات JSON داخل ملفات نصية. يمكن تخصيص ذلك عن طريق تعديل فئة BluePigeonListener في الحزمة com.csg.bluepigeon.pigeon ويمكن توجيهها لاحقاً إلى Blue Coop عن بُعد. عند الاستلام، سيتم الاحتفاظ بنسخة من الرسالة أيضاً في دليل /sdcard/blue_pigeon/backup.
في هذا المستودع، يأتي بلو بيجن في شكل تطبيق بسيط لمحسن البطارية. ومع ذلك، يمكن تجديده بأنماط واجهة مستخدم أخرى. لا تتردد في تخصيص واجهة بلو بيجن لتناسب احتياجات عمليتك عن طريق تعديل الحزمة com.csg.bluepigeon.ui.
لا شيء لتراه هنا... مجرد تطبيق محسن بطارية بريء!
تضم حزمة بلو بيك مجموعة من خطافات إطار EdXposed المخصصة* المكتوبة لتجاوز قيود واجهة برمجة تطبيقات البلوتوث في أندرويد الحديث (أندرويد 9/10):
BlueBeakHook - يفحص طلب نقل الملفات الوارد ويقرر ما إذا كان سيستهلكه أم لا. يستخدم مصادقة عبر عبارة سرية قابلة للتكوين للتأكد من أن الرسائل الواردة من مصادر موثوقة. لا نريد أن يستهلك بالخطأ طلباً كبيراً خبيثاً (تخفيف هجوم حجب الخدمة بالاستهلاك). كما يرفض أسماء الملفات التي تم استهلاكها سابقاً (تخفيف هجوم إعادة التشغيل). (انظر اعتبارات الأمان)
CooCooHook - يتجاوز المهلة الافتراضية لوضع البلوتوث القابل للاكتشاف في أندرويد لضمان استمرار الهاتف في بث حزم الاكتشاف أثناء نشره في الميدان. هذا ضروري ليتمكن الجهاز المخترق من مسح بلو بيجن والاتصال به في أي وقت أثناء العملية.
NoPopupHook - يتجاوز إنشاء النافذة المنبثقة لنقل ملفات البلوتوث في نظام أندرويد ويسمح بقبول أو رفض الطلبات عبر الكود. هذا لمنع فريق الاختراق الأحمر من الاضطرار إلى البقاء باستمرار على الهاتف لقبول الرسائل الواردة. مريب يا صديقي، مريب...
BirdIsAliveHook - يوفر مؤشراً بصرياً صغيراً أنيقاً بجانب ساعة النظام للإشارة إلى أن كل شيء يعمل بشكل جيد وجاهز للنشر.
الفكرة الفنية كانت دقيقة جداً!
*لماذا EdXposed؟ حسناً... واجهنا مشكلتين رئيسيتين في مرحلة التصور المبكرة:
1. بسبب المخاوف الأمنية، لم يعد نظام أندرويد الحديث يسمح للتطبيقات بقبول أو تصفية طلبات نقل ملفات البلوتوث الواردة برمجياً. هذا يمثل مشكلة لأن أسلوب عمل بلو بيجن يعتمد على قدرته على فحص الطلبات الواردة وقبولها أو رفضها في الوقت الحقيقي.
2. الحد الأقصى الافتراضي لمهلة وضع اكتشاف البلوتوث في أندرويد هو 3600 ثانية (ساعة واحدة). الالتزام بهذا الحد يعني أن فريق الاختراق الأحمر سيتعين عليه تحديث بلو بيجن يدوياً بشكل متكرر، وهو أمر غير عملي وقد يعيق سير العملية.
لمعالجة هذه المشكلات بفعالية، قررنا استخدام إطار EdXposed، الذي يوفر إمكانية ربط Android Runtime (ART)، وكتابة خطافاتنا المخصصة لتجاوز القيود على مستوى نظام التشغيل بطريقة معيارية.
يحتوي بلو ديساباتشر على وحدات .NET لإنشاء وإرسال واستقبال الحمولات من وإلى بلو بيجن باستخدام حزمة بلوتوث ويندوز. تسمح الوحدة بنقل الملفات دون الحاجة إلى مصادقة أمان البلوتوث بين بلو بيجن والجهاز المخترق، أي إقران الأجهزة. هذا يساعد في الحفاظ على التخفي (متطلب رئيسي) حيث لن تظهر نوافذ منبثقة على جهاز الضحية، مما قد يثير الشكوك.
انطباع فني للمطور حول فشل العملية بسبب التخريب البصري.
معظم وحدات البلوتوث الأساسية المستخدمة بواسطة بلو ديساباتشر تأتي من مكتبة 32feet المعروفة والقوية جداً.
يحتوي بلو ديساباتشر على خيارات تسمح للمستخدمين بإدخال أعلام للإرسال.
| العلم | الوصف |
|---|---|
| --device, -d | الجهاز المحمول للإرسال إليه |
| --message, -m | سلسلة النص للإرسال |
C:\Users\user>.\BlueDispatcher.exe
Usage: BlueDispatcher [options]
Options:
-m|--message Message to send to server
-d|--device Device to send to
C:\Users\user>.\BlueDispatcher.exe -d "Pixel 3 XL" -m "fly pigeon fly"
ملاحظة: قم بتنفيذ التشفير على مستوى التطبيق الخاص بك في بلو ديساباتشر إذا لزم الأمر، حيث يتم نقل الحمولات عبر RFCOMM كنص واضح.
لنشر بلو بيجن لاحتياجات تسريب البيانات الخاصة بك، يلزم ما يلي:
يتطلب بلو بيجن هاتف أندرويد بصلاحية جذر + Magisk.
قم بتثبيت riru-core و riru-edxposed عبر Magisk. أعد تشغيل جهاز الأندرويد بعد تثبيت الوحدات.
قم بتشغيل بلو بيجن بفتح تطبيق "محسن البطارية".
يمكن تكوين نقطة نهاية Blue Coop والعبارة السرية (المستخدمة للمصادقة) بالنقر على الأزرار في الزاوية اليسرى العليا.
كأداة هجومية، سيكون من المحرج إلى حد ما إذا كان بلو بيجن قاصراً أمام محاولات بسيطة من مهاجمين آخرين أو كارهي الطيور.
كبداية*، تم تصميم بلو بيجن مع حماية ضد هذه الهجمات المحتملة القليلة:
أحد قيود استخدام مشاركة ملفات البلوتوث كوسيط للتسريب هو عدم وجود نقل غير متزامن. نظراً لأنه يمكن أن تتم عملية نقل ملف واحدة فقط في أي وقت، يجب أن يكون بلو بيجن حذراً للسماح فقط بالطلبات الواردة المشروعة واستهلاكها.
إذا تمكن خصم قريب من صياغة طلب غير مصرح به وخداع بلو بيجن لقبوله، فقد يتسبب في هجوم حجب خدمة مؤقت ضد الإعداد عن طريق إرسال ملف وهمي كبير جداً. يمكن للمهاجم أيضاً محاولة اختراق الهاتف المحمول أو Blue Coop عن بعد بمحتوى خبيث مضمن داخل الملف.
للتخفيف من هذه الهجمات المحتملة، يتم مصادقة أسماء ملفات طلبات الملفات الواردة باستخدام مخطط مصادقة HMAC مع عبارة سرية مشتركة قابلة للتكوين.
إجراء التحقق من اسم الملف مقسم إلى الخطوات التالية:
BP-e2211d9e19f1669d1a09ea4828d3e2bc171a10bce71cafb53a64179f497273ea.txtprovidedHash و randHmacSHA512(rand, passphrase) مقابل providedHash (مقارنة أول 32 رقماً سداسياً عشرياً/16 بايت)منطق التحقق من اسم الملف موجود في com.csg.bluepigeon.util.EncryptionManager ويمكن تخصيصه وفقاً لذلك.
ملاحظة للمطور: في الواقع، التحقق من عنوان MAC الخاص بالمرسل سيكون مثالياً، لكننا اخترنا التحقق من اسم الملف بدلاً من ذلك لأنه سيكون من الصعب تحديد عنوان MAC البلوتوث للضحية مسبقاً.
طريق آخر للهجوم هو عبر هجمات إعادة التشغيل. يمكن لخصم قريب أن يتنصت على حركة المرور ويحصل على اسم ملف تم قبوله سابقاً. ثم يمكنه محاولة إعادة استخدام/"إعادة تشغيل" اسم الملف وإرسال طلب نقل ملف غير مصرح به إلى بلو بيجن. وبالمثل، يمكن لطلب نقل ملف وهمي كبير بما يكفي أن يسبب حجب خدمة مؤقت ضد الإعداد.
للتخفيف من ذلك، لن يُسمح بإعادة استخدام أسماء الملفات. سيضمن بلو بيك أن اسم الملف الوارد لم يتم استهلاكه من قبل (عن طريق التحقق من مجلد /sdcard/blue_pigeon/backup).
في هذا المستودع الأساسي، مكون rand من اسم الملف هو 32 رقماً سداسياً عشرياً/16 بايت، مما يوفر معدل تصادم يبلغ حوالي 1 من 2^128 (حساب بسيط، بافتراض عشوائية جيدة).
يمكن ضبط عتبات التصادم عن طريق تخصيص هيكل اسم الملف ومخطط التحقق. الأكواد ذات الصلة موجودة في com.csg.bluepigeon.util.EncryptionManager.
*إذا اكتشفت أي فرص أخرى لقتل الطيور أغفلناها و/أو ترغب في المساهمة في تعزيز متانة بلو بيجن، فلا تتردد في إنشاء issue أو pull request!
لا تتردد في إنشاء issues وإرسال pull requests!