Medusa

Medusa ist ein plattformübergreifender Agent, der sowohl mit Python 3.8 als auch mit Python 2.7 kompatibel ist.

Installation

Zur Installation von Medusa benötigst du Mythic v3, das auf einem entfernten Computer installiert ist. Installationsanweisungen für Mythic findest du auf der Mythic-Projektseite.

Führe vom Mythic-Installationsverzeichnis aus den folgenden Befehl aus:

./mythic-cli install github https://github.com/MythicAgents/Medusa.git

Starte Mythic nach der Installation neu, um einen neuen Agenten zu erstellen.

RabbitMQ-Konfigurationshinweise

Die Datei Payload_Type/medusa/rabbitmq_config.json ist eine Vorlage und muss deiner Mythic-Umgebung entsprechen.

• Setze rabbitmq_password auf deinen Mythic-RABBITMQ_PASSWORD-Wert (in der Regel aus der Mythic-.env).
• Setze rabbitmq_host auf deinen RabbitMQ-Host/Containernamen (häufig mythic_rabbitmq bei docker-compose-Setups oder 127.0.0.1 für lokale Bindungen).
• Setze mythic_server_host auf deinen Mythic-Server-Host/Containernamen (häufig mythic_server bei docker-compose-Setups oder 127.0.0.1 für lokale Bindungen).

Bemerkenswerte Funktionen

• Dynamisches Laden/Entladen von Agentenfunktionen, um die Offenlegung der Agentenfähigkeiten auf der Festplatte zu begrenzen.
• Laden von Python-Modulen in den Speicher zur Verwendung in benutzerdefinierten Skripten.
• Plattformübergreifender SOCKS5-Proxy
• macOS-Zwischenablage-Leser, Screenshot-Ersteller und TCC-Datenbank-Parsing
• Dateibrowser-Kompatibilität mit Hoch-/Herunterladen
• Eval() von dynamischem Python-Code
• Kompatibilität mit Basic-Authentication-Proxys

Kurzreferenz für das Befehle-Handbuch

Der Basisagent und die enthaltenen Befehle verwenden ausschließlich in Python integrierte Bibliotheken, sodass keine zusätzlichen Pakete benötigt werden. Die Agenten führen die Befehle in Threads aus, sodass länger laufende Uploads oder Downloads den Hauptagenten nicht blockieren.

Allgemeine Befehle

macOS-Befehle

Windows-Befehle

Python-Versionen

Beide Versionen des Medusa-Agenten verwenden eine AES256-HMAC-Implementierung, die mit integrierten Bibliotheken geschrieben wurde (angepasst von hier). Dadurch entfällt die Notwendigkeit zusätzlicher Abhängigkeiten über eine Standard-Python-Installation hinaus. Der Agent sollte daher auf Windows-, Linux- und macOS-Hosts funktionieren. Erwähnenswert ist, dass diese Crypto-Implementierung bei der Verarbeitung großer Dateien (Screenshots, Downloads usw.) einen gewissen Overhead verursacht, aber das ist praktikabel.

Py2- vs. Py3-Befehle

Im Verzeichnis Payload_Type/Medusa/agent_code findest du base_agent-Dateien mit den Suffixen py2 und py3. Ebenso sind ähnliche Dateierweiterungen auch für einzelne Funktionsdateien zu sehen.

Diese werden vom Skript builder.py gelesen, um zunächst die richtige Basis-Python-Version des Medusa-Agenten auszuwählen. builder.py bindet anschließend Befehle ein, die für die gewählte Python-Version spezifisch sind. Falls ein Befehl nur eine .py-Endung hat, wird diese standardmäßig verwendet, wobei angenommen wird, dass für die Py2- und Py3-Versionen kein alternativer Code erforderlich ist.

Threaded Jobs

Medusa verwendet einfaches Threading für die Auftragsausführung. Bei potenziell lang laufenden Aufträgen kann eine „Stop-Check“-Logik implementiert werden, um auf ein Signal der jobkill-Aufgabe zu reagieren. Dies kann mit einem Codeausschnitt ähnlich dem folgenden umgesetzt werden:

if [task for task in self.taskings if task["task_id"] == task_id][0]["stopped"]:
  # Some job-specific tidy up
  return "Job stopped."

Dieser Handler ist in den Befehlen download, upload, watch_dir und screenshot implementiert.

Zusätzlich kann für einen lang laufenden Auftrag, der kontinuierliche Ausgabe liefern soll, die Funktion sendTaskOutputUpdate – im Basisagenten enthalten – verwendet werden, um Mythic vor Abschluss der Aufgabe zu aktualisieren. Eine Dummy-Funktion, die kontinuierliche Ausgabe liefert und per jobkill beendet werden kann, ist unten zu sehen.

def dummyFunction(self, task_id):
  while(True):
      # Check if we've got a stop signal.
      if [task for task in self.taskings if task["task_id"] == task_id][0]["stopped"]: return "Job stopped."

      # Send output back to Mythic
      self.sendTaskOutputUpdate(task_id, "We're still running")

      time.sleep(10)

Unterstützte C2-Profile

Medusa unterstützt derzeit zwei C2-Profile: http (sowohl mit als auch ohne AES256-HMAC-Verschlüsselung) und azure_blob.

HTTP-Profil

Das HTTP-Profil meldet sich über das grundlegende, nicht-dynamische Profil beim Mythic-Server zurück. GET-Anfragen für Taskings, POST-Anfragen mit Antworten.

Danksagungen

• Browser-Skripte und Agentencode angepasst von @its_a_feature_ und @djhohnstein.
• MacC2 und dieser Blogbeitrag von Cedric Owens.
• EmPyre und dieser Blogbeitrag von Chris Ross.
• Die Crypto-Meisterleistung hier.
• Agentensymbol von flaticon.com.