NachoVPN 🌮🔒

NachoVPN es una Prueba de Concepto que demuestra la explotación de clientes SSL-VPN, utilizando un servidor VPN malicioso.

Utiliza una arquitectura basada en plugins para que la comunidad pueda contribuir con soporte para productos SSL-VPN adicionales. Actualmente admite varios productos VPN corporativos populares, como Cisco AnyConnect, SonicWall NetExtender, Palo Alto GlobalProtect e Ivanti Connect Secure.

Para obtener más detalles, consulta nuestra entrada de blog y la presentación en HackFest Hollywood 2024 [diapositivas|vídeo].

Instalación

Requisitos previos

• Python 3.9 o posterior
• Docker (opcional)
• osslsigncode (solo Linux)
• msitools (solo Linux)
• python3-netfilter (solo Linux)
• git

Configuración en Linux

NachoVPN está construido y probado en Ubuntu 22.04.

• Instala python3-nftables y nftables

• Opcionalmente, utiliza setcap para evitar el requisito de sudo:

  root@kitploit:~

  sudo setcap 'cap_net_raw,cap_net_bind_service,cap_net_admin=eip' /usr/bin/python3.10
  

• Habilita el reenvío de IP:

  root@kitploit:~

  sudo sysctl -w net.ipv4.ip_forward=1
  

Instalación desde el código fuente

NachoVPN puede instalarse desde GitHub utilizando pip. Ten en cuenta que esto requiere que git esté instalado.

Primero, crea un entorno virtual.

En Linux, asegúrate de que el entorno virtual tenga acceso a los site-packages del sistema, para que nftables funcione:

python3 -m venv env --system-site-packages
source env/bin/activate

En Windows, nftables (y por lo tanto el reenvío de paquetes) está deshabilitado, así que utiliza:

python -m venv env
.\env\Scripts\activate

A continuación, instala NachoVPN:

pip install git+https://github.com/AmberWolfCyber/NachoVPN.git

Si prefieres usar Docker, puedes descargar el contenedor desde el Registro de Contenedores de GitHub:

docker pull ghcr.io/AmberWolfCyber/nachovpn:release

Construcción para distribución

Construcción de un archivo wheel

Primero, clona este repositorio e instala setuptools y wheel mediante pip. A continuación, puedes ejecutar el script setup.py:

git clone https://github.com/AmberWolfCyber/NachoVPN
pip install -U setuptools wheel
python setup.py bdist_wheel

Esto generará un archivo wheel en el directorio dist, que se puede instalar con pip:

pip install dist/nachovpn-1.0.0-py3-none-any.whl

Construcción para desarrollo local

Alternativamente, para el desarrollo local puedes instalar el paquete en modo editable utilizando:

pip install -e .

Construcción de una imagen de contenedor

Puedes construir la imagen del contenedor con el siguiente comando:

docker build -t nachovpn:latest .

Ejecución

Para ejecutar el servidor de forma independiente, utiliza:

python -m nachovpn.server

Alternativamente, puedes ejecutar el servidor utilizando Docker:

docker run -e SERVER_FQDN=connect.nachovpn.local -e EXTERNAL_IP=1.2.3.4 -v ./certs:/app/certs -p 80:80 -p 443:443 --rm -it nachovpn

Esto generará un certificado para SERVER_FQDN utilizando certbot y lo guardará en el directorio certs, que hemos montado en el contenedor.

Alternativamente, con fines de prueba, puedes omitir la generación del certificado estableciendo la variable de entorno SKIP_CERTBOT.

En su lugar, se generará un certificado autofirmado.

docker run -e SERVER_FQDN=connect.nachovpn.local -e SKIP_CERTBOT=1 -e EXTERNAL_IP=1.2.3.4 -p 443:443 --rm -it nachovpn

También se proporciona un archivo docker-compose de ejemplo para mayor comodidad.

Depuración

Puedes ejecutar nachovpn con los argumentos de línea de comandos -d o --debug para aumentar la verbosidad del registro, lo que puede ayudar en la depuración.

Alternativamente, si el registro es demasiado ruidoso, puedes usar el argumento de línea de comandos q o --quiet.

Plugins

NachoVPN admite los siguientes plugins y capacidades:

Manejadores de URI

• El manejador de URI de Ivanti Connect Secure (Pulse Secure) se puede activar visitando la URL /pulse en el servidor NachoVPN.
• El manejador de URI de SonicWall NetExtender se puede activar visitando la URL /sonicwall en el servidor NachoVPN. Esto requiere que el agente de conexión de SonicWall esté instalado en el equipo cliente.
• El manejador de URI de Delinea se puede activar visitando la URL /delinea en el servidor NachoVPN.

Notas de funcionamiento

• Se recomienda utilizar un certificado TLS firmado por una Autoridad de Certificación de confianza. El contenedor docker automatiza este proceso por ti, utilizando certbot. Si no utilizas un certificado de confianza, NachoVPN generará en su lugar un certificado autofirmado, lo que en la mayoría de los casos hará que el cliente muestre una advertencia de certificado, o que se niegue a conectarse a menos que modifiques la configuración del cliente para aceptar certificados autofirmados. Para el plugin de Palo Alto GlobalProtect, esto también hará que el instalador MSI falle.
• Para simular un certificado de firma de código válido para el plugin de SonicWall, NachoVPN firmará el payload NACAgent.exe con un certificado autofirmado. Con fines de prueba, puedes descargar e instalar este certificado CA desde /sonicwall/ca.crt antes de activar el exploit. Para casos de uso en producción, necesitarás obtener un certificado de firma de código válido de una CA pública, firmar tu payload NACAgent.exe y colocarlo en el directorio payloads (o montarlo como volumen en /app/payloads, si usas docker).
• Para mayor comodidad, se genera un payload NACAgent.exe predeterminado para el plugin de SonicWall y se escribe en el directorio payloads. Este simplemente inicia un nuevo proceso cmd.exe en el escritorio del usuario actual, ejecutándose como SYSTEM.

Deshabilitar un plugin

Para deshabilitar un plugin, agrégalo a la variable de entorno DISABLED_PLUGINS. Por ejemplo:

DISABLED_PLUGINS=CiscoPlugin,SonicWallPlugin

Variables de entorno

NachoVPN se configura mediante variables de entorno. Esto lo hace fácilmente compatible con despliegues contenerizados.

Variables de entorno globales:

Variables de entorno específicas de los plugins:

Mitigaciones

Recomendamos las siguientes mitigaciones:

• Asegúrate de que los clientes SSL-VPN estén actualizados a la última versión disponible del proveedor.
• La mayoría de los clientes VPN admiten el concepto de restringir el perfil VPN a un endpoint específico, o de utilizar un modo VPN siempre activo (always-on). Esto debería habilitarse siempre que sea posible.
• Desafortunadamente, en algunos casos esta restricción puede ser eliminada por un usuario local malintencionado, por lo que también se recomienda utilizar reglas de firewall basadas en el host para restringir las direcciones IP con las que el cliente VPN puede comunicarse.
• Considera utilizar una política de Control de Aplicaciones, como WDAC, o una solución EDR para garantizar que el cliente VPN solo pueda ejecutar ejecutables y scripts aprobados.
• Detecta y alerta sobre clientes VPN que ejecutan procesos hijo no estándar.

Referencias

• AmberWolf Blog: NachoVPN
• HackFest Hollywood 2024: Very Pwnable Networks: Exploiting the Top Corporate VPN Clients for Remote Root and SYSTEM Shells, Rich Warren & David Cash [vídeo]
• BlackHat 2008: Leveraging the Edge: Abusing SSL VPNs, Mike Zusman
• BlackHat 2019: Infiltrating Corporate Intranet Like NSA, Orange Tsai & Meh Chang
• NCC Group: Making New Connections: Leveraging Cisco AnyConnect Client to Drop and Run Payloads, David Cash & Julian Storr
• The OpenConnect Project

Contribuciones

¡Agradecemos las contribuciones! Por favor, abre un issue o envía una Pull Request.

Si estás interesado en desarrollar un nuevo plugin, puedes echar un vistazo al ExamplePlugin para empezar.

Licencia

NachoVPN está licenciado bajo la licencia MIT. Consulta el archivo LICENSE para obtener más detalles.