xorrior/remotereconFernaufklärung und -sammlung
Remote Recon und Sammlung
RemoteRecon bietet die Möglichkeit, Post-Exploitation-Funktionen auf einem entfernten Host auszuführen, ohne Ihr gesamtes Toolkit/Agenten offenlegen zu müssen. Oft müssen wir als Betreiber einen Host kompromittieren, nur um Keylogging oder Screenshots (oder eine andere winzige Aufgabe) bei einer Person/einem Host von Interesse durchzuführen. Warum sollten Sie Beacon, Empire, Innuendo, Meterpreter oder einen benutzerdefinierten RAT auf das Ziel übertragen müssen? Dies vergrößert den Footprint, den Sie in der Zielumgebung haben, legt Funktionalität in Ihrem Agenten offen und höchstwahrscheinlich Ihre C2-Infrastruktur. Eine Alternative wäre, einen sekundären Agenten auf Zielen von Interesse zu deployen und Informationen zu sammeln. Speichern Sie diese Daten dann zum Abruf nach Ihrem Ermessen. Falls diese kompromittierten Endpunkte von IR-Teams entdeckt werden, verlieren Sie diese Endpunkte und die gesammelten Informationen, aber nichts weiter. Unten ist eine visuelle Darstellung, wie ich mir vorstelle, dass ein Angreifer dies nutzen würde.
RemoteRecon nutzt die Registry für die Datenspeicherung, mit WMI als internem C2-Kanal. Alle Befehle werden asynchron im Push- und Pull-Verfahren ausgeführt. Das bedeutet, dass Sie Befehle über den PowerShell-Controller senden und die Ergebnisse dieser Befehle über die Registry abrufen. Alle Ergebnisse werden in der lokalen Konsole angezeigt.
PowerShell
Screenshot
Token-Imitation
ReflectiveDll injizieren (Muss die ReflectiveLoader-Funktion von Stephen Fewer exportieren)
Shellcode injizieren
Keylogging
Das RemoteRecon.ps1-Skript enthält bereits einen vollständig bewaffneten JS-Payload für den Agenten. Der Payload wird nur aktualisiert, wenn sich die Codebasis ändert.
Wenn Sie selbst Änderungen an der Codebasis vornehmen möchten, sind einige Abhängigkeiten erforderlich.
Dank an diese Personen für ihre Beiträge durch Code oder Wissen :)
