RAT-via-Telegram

Notizen von Dviros:

Windows Remote Post Breach Tool via Telegram (Python 2.7), Ursprünglich erstellt von Ritiek, geforkt und modifiziert von mvrozanti und danach von mir.

Der gesamte Zweck dieses Tools ist es, (als „PoC“) die Kontrolle über eine bereits kompromittierte Maschine über Telegram zu demonstrieren. Wie bei meinen bereits geschriebenen Tools befürworte ich keine illegalen Aktivitäten.

Diese modifizierte Version verwendet die Telegram Bot API v2 anstelle der traditionellen v1. Die Hauptänderung sind Tastatur‑Buttons anstelle von Texteingabe. Ich werde versuchen, neue Funktionen hinzuzufügen, Fehler zu beheben und mit der API v3 kompatibel zu sein, nachdem ich die von „mvrozanti“ benötigten Änderungen übernommen habe. In der Zwischenzeit funktionieren die Befehle cd, download, upload, run und delete nicht.

Spenden werden sehr geschätzt

Derzeit funktionierende Funktionen:

• Keylogger auf dem Ziel ausführen
• Windows-Version, Prozessor und mehr des Ziel-PCs abrufen
• IP-Adressinformationen des Ziel-PCs und ungefähre Position auf einer Karte abrufen
• [WIP] Dateien oder Ordner auf dem Ziel löschen
• Aktuelles Verzeichnis auf dem Ziel anzeigen
• [WIP] Aktuelles Verzeichnis auf dem Ziel ändern
• Aktuelles oder angegebenes Verzeichnis auf dem Ziel auflisten
• [WIP] Jede Datei vom Ziel herunterladen
• Lokale Dateien auf das Ziel hochladen. Senden Sie Ihr Bild, PDF, EXE oder was auch immer als file an den Telegram-Bot
• Autostart: Ein Youtube-Video in Vollbild ohne Bedienelemente auf dem Ziel abspielen
• Screenshots des Ziels
• [WIP] Jede Datei auf dem Ziel ausführen
• Zugriff auf das Mikrofon des Ziels
• HTTP-Proxy-Server starten
• Tastatur des Ziels einfrieren
• ARP-Tabelle des Ziels zurückgeben
• [WIP] Aufgaben planen, die zu einer bestimmten Zeit ausgeführt werden
• [WIP] Maus des Ziels einfrieren
• Aktive Prozesse und Dienste abrufen
• [WIP] Zwischenablage erfassen (Text, Bild)
• [WIP] Maus/Tastatur deaktivieren/aktivieren
• [WIP] Desktop-Symbole ausblenden
• [WIP] .exe auf dem Ziel aktualisieren
• [WIP] Computer herunterfahren/neu starten
• [WIP] Selbstzerstörung des RAT auf dem Ziel
• [WIP] Schnappschüsse von der Webcam machen (falls vorhanden)
• [WIP] Dateien auf dem Ziel kopieren und verschieben
• [WIP] Audiokompression
• Weitere folgen bald!

Ritieks ursprüngliche Notizen:

Warum noch eins?

• Die derzeitigen Remote Administration Tools auf dem Markt haben zwei große Probleme:

  • Mangelnde Verschlüsselung.
  • Notwendigkeit von Portweiterleitung, um aus Hunderten von Kilometern Entfernung zu steuern.

• Dieser RAT überwindet beide Probleme durch die Verwendung der Telegram Bot API.

  • Vollständig verschlüsselt. Die ausgetauschten Daten können nicht mit MITM-Werkzeugen ausspioniert werden.
  • Die Telegram-Messenger-App bietet eine einfache Möglichkeit, mit dem Ziel zu kommunizieren, ohne vorher eine Portweiterleitung auf dem Ziel konfigurieren zu müssen.

Screenshots:

Installation & Verwendung:

• Klonen Sie dieses Repository.
• Richten Sie einen neuen Telegram-Bot ein, indem Sie mit dem BotFather sprechen.
• Kopieren Sie dieses Token und ersetzen Sie es am Anfang des Skripts.
• Installieren Sie die Abhängigkeiten: pip install -r requirements.txt.
• Installieren Sie pyHook 64‑Bit oder 32‑Bit, je nach Ihrem System.
  • Für 64‑Bit: pip install pyHook-1.5.1-cp27-cp27m-win_amd64.whl.
  • Für 32‑Bit: pip install pyHook-1.5.1-cp27-cp27m-win32.whl.
• Um das Skript auszuführen: python RATAttack.py.
• Finden Sie Ihren Bot auf Telegram und senden Sie einen Befehl an den Bot, um ihn zu testen.
• Um den Bot so einzuschränken, dass er nur auf Sie reagiert, notieren Sie Ihre chat_id aus der Konsole, ersetzen Sie sie im Skript und kommentieren Sie die Zeile return True aus. Keine Sorge, Sie werden es wissen, wenn Sie die Kommentare im Skript lesen.

Kompilieren:

Kompilierungsanleitung:

Entweder:

Ersetzen Sie Ihren Pfad in compileAndRun.bat (durch Ausführen wird die ausführbare Datei gestartet)

Oder:

Führen Sie `pyinstaller --onefile --noconsole C:\pfad\zu\RATAttack.py` aus. Sie können auch `--icon=<pfad\zu\icon.ico>` übergeben, um ein benutzerdefiniertes Symbol zu verwenden.

• Sobald die Kompilierung erfolgreich abgeschlossen ist, finden Sie die .exe-Datei in C:\Python27\Scripts\dist\. Sie können den Namen der .exe nach Belieben ändern.
• VORSICHT! Wenn Sie die kompilierte .exe ausführen, versteckt sich das Skript und infiziert Ihren PC, um beim Start ausgeführt zu werden. Sie können den Normalzustand wiederherstellen, indem Sie die Option /self_destruct verwenden oder manuell das Verzeichnis C:\Users\Benutzername\AppData\Roaming\Portal und C:\Users\Benutzername\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\portal.lnk entfernen (ich empfehle jedoch, sie vorerst manuell zu entfernen).

Einstellungen ändern:

• Sie können auch den Namen der versteckten .exe-Datei sowie den Speicherort und Namen des Ordners ändern, in dem sich die versteckte .exe versteckt. Ändern Sie dazu compiled_name und hide_folder entsprechend.
• Weisen Sie Ihre bekannten Chat-IDs am Anfang von RATAttack.py zu.

Lizenz:

The MIT License