USP

الميزات

يقوم برنامج Go هذا بإنشاء ثبات على نظام لينكس عن طريق إنشاء قاعدة udev تؤدي إلى تنفيذ حمولة محددة (ثنائي أو سكريبت). يوفر خيارين للتشغيل:

• ثبات USB: يتم تنفيذ الحمولة عند إدخال جهاز USB.
• ثبات الإقلاع: يتم تنفيذ الحمولة أثناء إقلاع النظام، مستفيداً من جهاز /dev/random.

بالإضافة إلى ذلك، يوفر خيار التنظيف لإزالة الثبات المُنشأ.

الاستخدام

1. ترجمة سكريبت Go: go build -o usp

2. تشغيل السكريبت بصلاحيات الجذر (sudo): sudo ./usp

يمكنك تخصيص السلوك باستخدام الخيارات التالية:

• -f <اسم الملف>: تحديد المسار الذي ستُكتب فيه الحمولة (الافتراضي: /usr/local/bin/persistence).
• -p <الحمولة>: تحديد المسار إلى ملف الحمولة (ثنائي أو سكريبت) الذي سيتم تنفيذه. هذا الخيار إلزامي.
• -r <اسم القواعد>: تحديد اسم ملف قواعد udev (الافتراضي: 75-persistence.rules).
• -usb: تفعيل ثبات USB.
• -random: تفعيل ثبات الإقلاع باستخدام /dev/random.
• -c: تنظيف الثبات، وإزالة ملف الحمولة وقاعدة udev.

مثال

• المثال التالي يستخدم طريقة ثبات USB لتشغيل example.sh في كل مرة يتم فيها توصيل جهاز USB.

sudo ./usp -p ./example.sh 

• المثال التالي يستخدم طريقة ثبات "random" لتشغيل my_backdoor_binary في كل مرة يتم فيها تحميل /dev/random (مثل وقت الإقلاع). يتم تثبيته في /bin/ripgrep (متخفيًا كملف ثنائي ripgrep). بالإضافة إلى ذلك، يتم إنشاء ملف القواعد في /etc/udev/rules.d/123-notsektchy.rules

sudo ./usp -random  -f /bin/ripgrep -p my_backdoor_binary -r 123-notsketchy.rules

المراجع والقراءات الإضافية

• https://www.aon.com/en/insights/cyber-labs/unveiling-sedexp
• https://ch4ik0.github.io/en/posts/leveraging-Linux-udev-for-persistence/
• https://opensource.com/article/18/11/udev