Powershell-RAT

Python-basierte Backdoor, die Gmail verwendet, um Daten als E-Mail-Anhang zu exfiltrieren.

Dieser RAT hilft jemandem während Red-Team-Einsätzen, Windows-Rechner zu backdooren. Er verfolgt die Benutzeraktivität mittels Bildschirmaufnahmen und sendet die Informationen als E-Mail-Anhang an einen Angreifer.

Hinweis: Dieser Code ist für Antivirensoftware (AV) vollständig unerkennbar (FUD).

Dieses Projekt darf nicht für illegale Zwecke oder zum Eindringen in Systeme ohne Erlaubnis verwendet werden; es ist ausschließlich zu Bildungszwecken und zum Experimentieren gedacht.

Vorschläge oder Ideen für dieses Tool sind willkommen – twittert mich einfach an @ManiarViral

RAT-Architekturdiagramm

Bildschirmfoto

Beim ersten Ausführen des Powershell-RAT erhält der Benutzer folgende Optionen:

Verwendung der Option Hail Mary zum Backdooren eines Windows-Rechners:

Erfolgreiches Erstellen von Bildschirmfotos der Benutzeraktivität:

Daten, die als E-Mail-Anhang über Gmail exfiltriert wurden:

Mein Windows-Rechner hat kein Python installiert, was soll ich tun?

• Kompiliere PowershellRAT.py mit Pyinstaller in eine ausführbare Datei.

• PyInstaller ist auf PyPI verfügbar. Du kannst es mit pip installieren:

pip install pyinstaller

Einrichtung

• Wegwerf-Gmail-Adresse
• Aktiviere „Weniger sichere Apps zulassen“ unter https://myaccount.google.com/lesssecureapps
• Ändere die Variablen $username und $password in der Powershell-Datei Mail.ps1 für dein Konto
• Ändere $msg.From und $msg.To.Add mit der Wegwerf-Gmail-Adresse

Wie verwende ich das?

• Drücke 1: Diese Option setzt die Ausführungsrichtlinie auf „Uneingeschränkt“ mittels Set-ExecutionPolicy Unrestricted. Dies ist nützlich auf einem Administratorenrechner.

• Drücke 2: Diese Option erstellt einen Screenshot des aktuellen Bildschirms auf dem Benutzerrechner mit dem Powershell-Skript Shoot.ps1.

• Drücke 3: Diese Option hinterlegt eine Backdoor auf dem Benutzerrechner mittels schtasks und setzt den Aufgabenname auf MicrosoftAntiVirusCriticalUpdatesCore.

• Drücke 4: Diese Option sendet eine E-Mail vom Benutzerrechner mit Powershell. Dabei wird die Datei Mail.ps1 verwendet, um den Screenshot als Anhang zur Datenexfiltration zu versenden.

• Drücke 5: Diese Option hinterlegt eine Backdoor auf dem Benutzerrechner mittels schtasks und setzt den Aufgabenname auf MicrosoftAntiVirusCriticalUpdatesUA.

• Drücke 6: Diese Option löscht die Screenshots vom Benutzerrechner, um unauffällig zu bleiben.

• Drücke 7: Diese Option hinterlegt eine Backdoor auf dem Benutzerrechner mittels schtasks und setzt den Aufgabenname auf MicrosoftAntiVirusCriticalUpdatesDF.

Fragen?

Twitter: https://twitter.com/maniarviral LinkedIn: https://au.linkedin.com/in/viralmaniar

Beitrag & Lizenz

Dieses Werk ist lizenziert unter einer Creative Commons Attribution 4.0 International License.
Möchtest du einen Beitrag leisten? Bitte forke das Repository und reiche einen Pull-Request ein.

Vorschläge oder Ideen für dieses Tool sind willkommen – twittert mich einfach an @ManiarViral

To Do

• Verschlüsselte Exfiltration über Gmail, um SSL-Inspektion zu umgehen
• Fotos von der Frontkamera holen
• Mikrofon aufnehmen