GitBackdorizer (BETA)

GitBackdorizer ist ein Proof-of-Concept, der vollständig von Ulisses Castros Vortrag 50 Tonnen Hintertüren inspiriert ist, und die mangelnde Aufmerksamkeit der Benutzer ausnutzt, um Git-Zugangsdaten zu stehlen.

Wie es funktioniert

GitBackdorizer besteht aus drei Komponenten: Handler, Dropper und der Payload.

Handler

Der Handler richtet einen HTTP-Server ein, um die Anmeldedaten zu erfassen, und bietet ein Menü zur Konfiguration der Payload des Droppers. Die Zustellung des Droppers liegt in der Verantwortung des Angreifers.

Dropper

Der Dropper ist so konzipiert, dass er die höchstmögliche Kompatibilität aufweist und jegliche nicht-sh-spezifischen Funktionen vermeidet. Er funktioniert wie folgt:

• Identifizieren, ob der mit einer Hintertür versehene Git-Hook der Pre-Push-Hook oder ein anderer ist
• Ablegen der Backdoor-Payload in den spezifischen Hook
• Ausführungsberechtigung erteilen

Payload

Payloads sind ebenfalls so konzipiert, dass sie die höchstmögliche Kompatibilität aufweisen und Nicht-sh-Funktionen vermeiden. Derzeit gibt es zwei Arten von Payloads: die generische und die Pre-Push-spezifische.

Die generische Payload versucht, den Remote-Typ (HTTPS/SSH) zu identifizieren, indem sie:

• Den aktuellen Branch überprüft: git branch --contains HEAD
• Den Remote-Namen des Branches sammelt (über git config)
• Die Remote-URL des Remote-Namens sammelt (über git config) Dann prüft es, ob die URL https oder ssh ist.

Die Pre-Push-Payload prüft direkt die bereitgestellten Git-Informationen auf die URL (zweiter Hook-Parameter für Pre-Push).

Demo

So nutzen Sie gitbackdorizer aus, um das Vertrauen der Benutzer zu missbrauchen und deren Anmeldedaten zu stehlen:

GitBackdorizer - stealing credentials

Grüße

• Ulisses Castro – 50 Tonnen Hintertüren (https://www.slideshare.net/ulissescastro/50-ton-of-backdoors)
• Giovani Silva – hat das Infection Shell Script geschrieben