أبادون

تتضمن عمليات الفريق الأحمر مهارات متنوعة، وتستمر لعدة أشهر، وهي حساسة سياسياً؛ فهي تتطلب الكثير من المراقبة والتجميع والحذر. تم تصميم برنامج إدارة عمليات الفريق الأحمر من Wavestone، أبادون، لجعل عمليات الفريق الأحمر أسرع وأكثر قابلية للتكرار وأكثر تكتماً، مع تضمين أدوات ذات قيمة مضافة وتوفير قدرات متعددة لإعداد التقارير.

لأن:

• هناك أطنان من الأدوات التي يستخدمها فريق الأحمر
• ... ولكن لا يوجد برنامج لإدارة العمليات (مجاني ومفتوح المصدر)
• ... ولا يوجد تجميع بين هذه الأدوات على أي حال
• ... وإخفاقات "الأمن التشغيلي" شائعة

ما الذي أردناه من أبادون ؟:

يهدف أبادون إلى تسهيل عمليات الفريق الأحمر من خلال:

• تقليل الوقت اللازم لبناء بنية تحتية
• تمكين الإجراءات المعقدة بنقرة أو نقرتين
• تمكين إعداد تقارير أسهل للعمليات الطويلة
• تقليل خطر "فشل الأمن التشغيلي"

يمكن العثور على الشرائح التي تقدم أبادون في RSAC2020 هنا: (أبادون، ملاك الفريق الأحمر)

ما يمكنك نشره

• يتم نشره خلال 30 دقيقة
• قابل للإلقاء، مصادق عليه، متكتّم
• يتيح التصيد وكذلك تنفيذ الأوامر عن بُعد

ميزات أخرى

• الاستطلاع: واجهة رسومية لـ NMAP و Recon-NG و HunterIO و Amass
• التسليح: توليد حمولات مشوّشة قيد التطوير
• التسليم: نشر مثيلات EC2 بنقرة أو نقرتين، و Gophish، وبنية تحتية كاملة الوظائف ومتكتّمة ومؤسسة بحاويات دوكر (C&C) كما هو موضح أعلاه
• الاستغلال وما بعد الاستغلال: أفكار قيد التطوير :)
• إعداد التقارير: لوحة تحكم بسيطة جاهزة ولكنها لا تزال قيد التطوير لمتابعة عملياتك

تثبيت وتشغيل أبادون

تم اختبار أبادون على Debian و LUbuntu وبالطبع KALI Linux (أجريت آخر الاختبارات على الإصدار 5.4.0 amd64). تحتاج أيضاً إلى اتصال بالإنترنت، وعنوان IP عام إذا كنت تريد نشر خادم C&C الخاص بك محلياً.

لاحظ أنه لتكوين بيئة AWS الخاصة بك، ربما تكون أسهل طريقة هي تثبيت aws-cli كما هو موضح هنا: https://docs.aws.amazon.com/fr_fr/cli/latest/userguide/install-cliv2-linux.html

curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip
sudo ./aws/install

1. استنساخ هذا المستودع والانتقال إلى داخل مجلد المستودع

git clone [email protected]/wavestone-cdt/abaddon.git
cd abaddon

2. إنشاء الملفين ~/.aws/credentials و ~/.aws/config مع بيانات اعتماد AWS والتكوين الخاص بك، باستخدام الأمر التالي:

aws configure

3. انقل settings.py.sample إلى settings.py. قم بتغيير كلمة مرور مستخدم قاعدة البيانات (سيُطلب منك كلمة المرور هذه أثناء عملية الإعداد)

mv abaddon/settings.py.sample abaddon/settings.py
sed -i 's/yourPasswordHere/<databasepassword>/g' abaddon/settings.py

4. قم بتشغيل الأمر التالي في مجلد abaddon/setup:

bash setup/install.sh

سيقوم هذا البرنامج النصي بما يلي:

• تحديث نظام التشغيل الخاص بك
• تثبيت الحزم المطلوبة من قبل Django وأبادون (بما في ذلك docker و docker-compose)
• تثبيت جميع تبعيات بايثون (بما في ذلك Django 3.X)
• إنشاء قاعدة بيانات PostgreSQL ومستخدم مع الصلاحية المناسبة (كلمة مرور قاعدة البيانات التي تحتاج إلى تقديمها موجودة داخل ملف abaddon/settings.py، يُنصح بتغيير كلمة المرور)
• تطبيق ترحيلات Django
• إنشاء مستخدم فائق لتطبيق Django، والذي سيتم استخدامه للاتصال بالواجهة الرسومية لأبادون.

شغّل ملاك الفريق الأحمر !

bash abaddon.sh

افتح متصفحاً، وانتقل إلى الرابط 127.0.0.1:8000 (اتصل ببيانات اعتماد المستخدم الفائق لـ Django التي تم إنشاؤها أثناء التثبيت).

نشر بنية تحتية لـ C&C داخل أبادون

7. إذا لم يتم نشر أي مثيل EC2 من قبل من أبادون (من المهم أن تنشر EC2 من أبادون، حتى يكون لديك إمكانية الوصول إلى مفتاح SSH، الموجود في مجلد aws)، انتقل إلى صفحة Delivery/Let’s phish!. انقر على انشر EC2!. انتظر حتى نهاية النشر (يمكنك التحقق داخل الطرفية المستخدمة لتشغيل أبادون إذا كان EC2 جاهزاً للاستخدام، تظهر جميع خطوات النشر في الشل).

8. انتقل إلى ملف misc/apache/default-ssl.conf وقم بتحديث اسم النطاق الخاص بـ EC2 داخل VirtualHost الثاني. لتجنب اكتشاف بنيتك التحتية، اشترِ اسم نطاق جديد وقم بتكوينه للإشارة إلى EC2 الخاص بك. استخدم اسم النطاق هذا في ملف تكوين Apache وقم بتحديث misc/apache/topsecret.key و misc/apache/topsecret.crt وفقاً لذلك، وهما المفتاح الخاص والشهادة لاسم نطاقك الجديد.

9. انتقل بعد ذلك إلى صفحة مراقبة السيناريوهات الحالية وانقر على تكوين بنية تحتية لـ RedELK. أعطِ هذا السيناريو اسماً. يدعم أبادون حالياً سيناريو واحداً فقط في كل مرة. اختر مثيل EC2 تم نشره من أبادون الخاص بك واختر النشر المحلي (لأنك تنشر Apache docker محلياً). ثم اختر المنافذ التي يستخدمها EC2 المنشور لاستقبال اتصالات HTTP و SSL، والمنفذ وعنوان IP الذي سيعيد وكيل Apache العكسي توجيه حركة المرور إليه (على سبيل المثال، IP والمنفذ الذي يستمع إليه خادم SILENTTRINITY الخاص بك). سيكون التكوين الشائع كما يلي:

http port = 80 ssl port = 443 Listening Port= 9999 C2 IP adress = 172.16.0.1

انتظر حتى نهاية النشر وعد إلى صفحة مراقبة السيناريوهات الحالية.

المشاركة

لا تتردد في إرسال طلبات السحب (Pull Requests) إلينا، أو إرسال أسئلتي (@Ibrahimous).

الدعوة للمساهمة

نحن نود حقاً أن نرى مختبر الاختراق وغيرهم من محبي الأمن الهجومي يخرجون من منطقتهم السرية، ويشاركون الأفكار، ويساهمون في إنشاء إطار عمل شامل لعمليات الفريق الأحمر.

لذا، إذا كنت ترغب في تحسين الأداة، فافعل ذلك. إذا كنت ترغب في إعادة تشكيلها بشكل جذري، فيرجى تقديم أفكارك.

التوثيق، الإعداد والاستخدام الأساسي

التوثيق قيد العمل، وسيكون متاحاً قريباً جداً في الويكي.

المؤلف

تشارلز إبراهيم (@Ibrahimous)

الشكر، المساهمون والمساهمون غير الطوعيين

(بدون ترتيب معين)

• مارسيلو سالفاتي (@byt3bl33d3r)، لـ SILENTTRINITY. Boo-lang، يا إلهي.
• آرثر فيلنوف (@crypt0-M3lon)، لأفكاره الرائعة حول دوكر، بروتوكول الوكيل، والمزيد.
• رومان ميلشور، لدمج الكثير من الأفكار الرائعة
• تيمون جلاسر، لتصحيح SILENTTRINITY، وإصلاح الأخطاء، ودمج الأفكار، وجعل كل شيء يعمل بسلاسة أثناء المشاركات الفعلية!
• @sbnsec، لأنه يقوم حالياً بتحويل كل شيء إلى Terraform!
• أرنو سولي (@arnaudsoullie)، لأنه أشرف على معظم المشروع!