Wareed DNS C2

WAREED ist ein Command-and-Control-System (C2), das das DNS-Protokoll für sichere Kommunikation zwischen Server und Ziel nutzt. Es ist darauf ausgelegt, die Kommunikation zu minimieren und den Datenaustausch zu begrenzen. Es soll als First-Stage-C2 auf Maschinen persistieren, die keinen Internetzugang über HTTP/HTTPS haben, auf denen DNS jedoch erlaubt ist.

entwickelt von : @Fsalabduljabbar

Wie es funktioniert

Warum Wareed?

Während viele Command-and-Control-Frameworks (C2) DNS als Transportprotokoll unterstützen, sind sie überwiegend für HTTP/HTTPS ausgelegt. Die Umstellung dieser Frameworks auf DNS führt oft zu langsameren und weniger stabilen Abläufen. Da ich zahlreiche Herausforderungen mit der Instabilität dieser Frameworks für DNS-Transaktionen erlebt habe, sah ich mich gezwungen, eine Lösung zu entwickeln, die speziell auf DNS zugeschnitten ist. Das Ergebnis ist Wareed – ein reines DNS-C2-Framework. Diese spezielle Ausrichtung führt zu einem stabileren und effizienteren Betrieb und macht Wareed schneller und zuverlässiger als herkömmliche C2-Frameworks, die nicht in erster Linie für DNS konzipiert sind. Damit ist Wareed eine ideale Wahl für Umgebungen, in denen DNS-Verkehr erlaubt ist, HTTP/HTTPS jedoch eingeschränkt ist.

Über

Es wurde unter Verwendung von drei Programmiersprachen entwickelt:

1. Hams-Agent in C
2. Wareed-Teamserver in Golang
3. Ather-GUI-Client in C++

Erklärung der Namen:

Hams (همس) bedeutet „Flüstern“ auf Arabisch

Wareed (وريد) bedeutet „Vene“ auf Arabisch

Ather (أثر) bedeutet „Spur“ auf Arabisch

Demo

Voraussetzungen

1. Gültiger kontrollierter Domainname
2. Kali Linux 2023+ oder Ubuntu 23+
3. Ein Redirector (Ubuntu) zur Verarbeitung von DNS-Verbindungen (optional)

Installation

Schritt 1: Klonen Sie das Wareed-Repository:

git clone https://github.com/Faisal-P27/WAREED-DNS-C2.git

Schritt 2: Führen Sie das Setup-Skript aus:

cd WAREED-DNS-C2
chmod +x Run.sh
sudo ./Run.sh setup

Wenn der Kompilierungsprozess erfolgreich abgeschlossen wird, werden in demselben Verzeichnis zwei ausführbare Dateien erzeugt:

• WareedServer: Diese Datei dient als ausführbare Datei für den Teamserver
• Ather: Diese Datei ist die ausführbare Datei für den GUI-Client.

Außerdem wird der Kompilierungsstatus des Agents überprüft. Bei Erfolg wird bestätigt, dass der Agent für die Bereitstellung und den Betrieb bereit ist, was für die Funktionalität des Wareed-C2 entscheidend ist.

Konfiguration

{
    "magic_value": "cdn",
    "domains": ["2.example.net"],
    "listener_port": "111",
    "sleep": 5,
    "jitter": 50,
    "lookup_delay": 5,
    "default_dns_server": "1.1.1.1"
}

• magic_value: Eine eindeutige Kennung, die vom C2 verwendet wird.
• domains: Ein Array von Domainnamen, die vom C2 für die DNS-Kommunikation verwendet werden.
• listener_port: Die Portnummer, auf der der DNS-Teamserver auf eingehende Verbindungen lauscht.
• sleep: Die Basisverzögerung zwischen Aufgabenanforderungen.
• jitter: Ein Prozentsatz, der den Schlafintervallen Zufälligkeit hinzufügt, um Verkehrsmuster zu verschleiern.
• lookup_delay (deaktiviert): Die Verzögerung vor der Durchführung einer DNS-Abfrage, um DNS-Abfragen zu takten und eine Erkennung zu vermeiden.
• **default_dns_server **: Der DNS-Server, der für den Agenten zur Verwendung festgelegt ist, falls das lokale DNS nicht antwortet.

magic_value: Die Länge muss 3 betragen.

DNS-Infrastruktur

DNS-Einrichtung: Für den Betrieb von Wareed ist ein gültiger Domainname unerlässlich. Nach dem Erwerb einer Domain müssen zwei DNS-Einträge konfiguriert werden, die auf den Redirector zeigen:

1. A-Eintrag: Dieser sollte so eingerichtet werden, dass er auf die IP-Adresse des Redirectors zeigt.
2. NS-Eintrag: Dieser muss auf den zuvor erstellten A-Eintrag zeigen.

Infrastruktur

Redirector-Einrichtung: Der Redirector verarbeitet eingehenden DNS-Verkehr auf Port 53 und leitet ihn an den Teamserver weiter. Um dies zu erreichen, führen Sie die folgenden iptables-Befehle auf der Redirector-Maschine (R1) aus:

DNS-Anfragen akzeptieren:

iptables -I INPUT -p udp -m udp --dport 53 -j ACCEPT

Dieser Befehl konfiguriert die Firewall so, dass eingehende UDP-Pakete auf Port 53 akzeptiert werden, dem Standardport für DNS-Anfragen.

DNS-Verkehr umleiten:

iptables -t nat -A PREROUTING -p udp --dport 53 -j DNAT --to-destination [TeamServer IP]:[teamserver listener port]

Ersetzen Sie [TeamServer IP] durch die tatsächliche IP-Adresse Ihres Teamservers und [teamserver listener port] durch die Portnummer, auf der Ihr Teamserver lauscht. Dieser Befehl leitet den gesamten auf Port 53 eingehenden Verkehr an die angegebene IP-Adresse und den Port des Teamservers weiter.

Wareed ausführen

Wareed-Teamserver

Um den Wareed-Teamserver zum ersten Mal zu starten, müssen Sie die Konfigurationsdatei sowie das Client-Passwort und den Port angeben, auf dem der Client lauschen wird. Verwenden Sie den folgenden Befehl, um den Wareed-Teamserver auszuführen:

sudo ./WareedServer [Client Password] [Client Port Listener] [Path to configuration file]

• [Client Password]: Ersetzen Sie diesen Platzhalter durch das Passwort, mit dem sich Clients am Server authentifizieren.
• [Client Port Listener]: Ersetzen Sie dies durch die Portnummer, auf der der Teamserver auf eingehende Verbindungen vom Client lauscht.
• [Path to configuration file]: Geben Sie den vollständigen Pfad zur ursprünglichen Konfigurationsdatei an. Bei späteren Ausführungen wird diese Konfiguration aus der Datenbank geladen, und es ist nicht erforderlich, sie erneut anzugeben.

Ather-GUI-Client

Um den Ather-GUI-Client zu starten, führen Sie einfach

./Ather

Nach Ausführung des Befehls erscheint ein neues Fenster mit einer Anmeldeseite.

Anmeldedaten: Auf der angezeigten Anmeldeseite:

• Username: Geben Sie den Benutzernamen ein.
• Password: Geben Sie das entsprechende Passwort ein, wie es in der Befehlszeile des Teamservers konfiguriert wurde.
• Port: Geben Sie die Portnummer ein, auf der der Teamserver auf Verbindungen lauscht, wie in der Befehlszeile des Teamservers konfiguriert.
• IPAddress: Geben Sie die Teamserver-Adresse ein.

Hauptfenster von Wareed:

Neues Payload erzeugen

Um mit dem Ather-GUI-Client ein neues Payload zu erzeugen, gehen Sie wie folgt vor: