USP

Funktionen

Dieses Go-Programm richtet Persistenz auf einem Linux-System ein, indem es eine udev-Regel erstellt, die die Ausführung einer angegebenen Payload (Binärdatei oder Skript) auslöst. Es bietet zwei Trigger-Optionen:

• USB-Persistenz: Die Payload wird ausgeführt, sobald ein USB-Gerät eingesteckt wird.
• Boot-Persistenz: Die Payload wird während des Systemstarts ausgeführt, unter Nutzung des /dev/random-Geräts.

Zusätzlich bietet es eine Bereinigungsoption, um die eingerichtete Persistenz zu entfernen.

Verwendung

1. Go-Skript kompilieren: go build -o usp

2. Skript mit Root-Rechten (sudo) ausführen: sudo ./usp

Sie können das Verhalten mit den folgenden Flags anpassen:

• -f <filename>: Geben Sie den Pfad an, in den die Payload geschrieben wird (Standard: /usr/local/bin/persistence).
• -p <payload>: Geben Sie den Pfad zur Payload-Datei (Binärdatei oder Skript) an, die ausgeführt werden soll. Dieses Flag ist erforderlich.
• -r <rulesname>: Geben Sie den Namen der udev-Regeldatei an (Standard: 75-persistence.rules).
• -usb: USB-Persistenz aktivieren.
• -random: Boot-Persistenz mithilfe von /dev/random aktivieren.
• -c: Persistenz bereinigen, wobei die Payload-Datei und die udev-Regel entfernt werden.

Beispiel

• Das folgende Beispiel verwendet die USB-Persistenzmethode, um example.sh jedes Mal auszuführen, wenn ein USB-Gerät angeschlossen wird.

sudo ./usp -p ./example.sh 

• Das folgende Beispiel verwendet die „random“-Persistenzmethode, um my_backdoor_binary jedes Mal auszuführen, wenn /dev/random geladen wird (z. B. beim Booten). Sie wird unter /bin/ripgrep installiert. (Gibt sich als die ripgrep-Binärdatei aus.) Zusätzlich wird die Regeldatei in /etc/udev/rules.d/123-notsektchy.rules erstellt.

sudo ./usp -random  -f /bin/ripgrep -p my_backdoor_binary -r 123-notsketchy.rules

Referenzen && weiterführende Lektüre

• https://www.aon.com/en/insights/cyber-labs/unveiling-sedexp
• https://ch4ik0.github.io/en/posts/leveraging-Linux-udev-for-persistence/
• https://opensource.com/article/18/11/udev