Sticky Keys Hunter

Dieses POC-Bash-Skript testet auf Sticky-Keys- und Utilman-Hintertüren. Das Skript stellt eine Verbindung zu einem RDP-Server her, sendet sowohl die Sticky-Keys- als auch die Utilman-Trigger und macht einen Screenshot des Ergebnisses.

Dieses Skript wurde geschrieben, um eine Theorie zu beweisen, die ich über die Erkennung dieser Hintertüren auf Blackbox-Weise hatte, und wurde seit meinem Blogbeitrag Hunting Sticky Keys Backdoors nicht mehr aktualisiert. Allerdings haben @DennisMald und @notmedic diese Forschung weitergeführt und das Tool Sticky Keys Slayer auf ihrer DEF CON 24-Präsentation Sticky Keys To The Kingdom veröffentlicht. Schauen Sie sich ihr Tool an, da es viele Verbesserungen gegenüber diesem POC-Skript bietet.

Wie funktioniert es?

1. Stellt eine RDP-Verbindung mit rdesktop her
2. Sendet fünfmal die Umschalttaste mit xdotool, um sethc.exe-Hintertüren auszulösen
3. Sendet Windows+u mit xdotool, um utilman.exe-Hintertüren auszulösen
4. Macht einen Screenshot
5. Beendet die RDP-Verbindung

Voraussetzungen

1. Linux-Host mit laufendem X-Server
2. Die folgenden Pakete: xdotool imagemagick rdesktop bc 3. Debian/Ubuntu/Kali installieren: apt-get install xdotool imagemagick rdesktop bc
3. Der Bildschirm darf während dieses Vorgangs nicht gesperrt sein, da sonst alle Screenshots schwarz werden.

Verwendung

Einen einzelnen Host scannen: ./stickyKeysHunter.sh 192.168.1.10

Mehrere Hosts scannen: for i in $(cat list.txt); do ./stickyKeysHunter.sh "${i}"; done

TODO

1. Screenshots automatisch mit OCR oder Bildverarbeitung analysieren, um Hintertüren zu identifizieren.
2. Das Werkzeug beschleunigen/multithreaden.