DBC2

ÚLTIMA/VERSIÓN ACTUAL: 0.2.6

Autor: Arno0x0x - @Arno0x0x

DBC2 (DropboxC2) es una herramienta modular de post-explotación, compuesta por un agente que se ejecuta en la máquina de la víctima, un controlador que se ejecuta en cualquier máquina, módulos de PowerShell y servidores de Dropbox como medio de comunicación.

Este proyecto fue inspirado inicialmente por el fantástico framework Empire, pero también como un objetivo para aprender Python.

Echa un vistazo a esta introducción y demo de funcionalidades básicas (v0.0.1):

Nuevas características en la versión 0.2.x:

La aplicación se distribuye bajo los términos de la licencia GPLv3.

Arquitectura

Características

Características principales de DBC2:

• Varios stagers (PowerShell one liner, archivo batch, macro de MS-Office, javascript, DotNetToJScript, archivo msbuild, archivo SCT, ducky, más por venir...)
• Comandos CLI individuales (uno a la vez, sin persistencia de entorno)
• Shell pseudo-interactiva (persistencia de entorno) - basada en una idea de 0xDEADBEEF00 [at] gmail.com
• Enviar archivo al agente
• Recuperar archivo del agente
• Lanzar procesos en el agente
• Keylogger
• Clipboard logger (grabación/espionaje del portapapeles)
• Captura de pantalla
• Ejecutar e interactuar con módulos de PowerShell (capacidades infinitas: PowerSploit, Inveigh, Nishang, módulos de Empire, Powercat, etc.)
• Enviar pulsaciones de teclas a cualquier proceso
• Establecer persistencia mediante tarea programada e instancia única a través de Mutex
• Puede ejecutarse dentro de (w|c)script.exe gracias al stager DotNetToJScript (javascript2)
• Puede ser inyectado en cualquier proceso gracias a nativeWrapper y su correspondiente shellcode independiente de posición

Dependencias y requisitos

DBC2 requiere una aplicación de Dropbox (solo "Carpeta de aplicación" es suficiente) creada dentro de su cuenta de Dropbox y un token de acceso generado para esta aplicación, para poder realizar llamadas a la API. Mira el video de introducción sobre cómo hacer esto si no estás seguro.

En el lado del controlador, DBC2 requiere:

• Python 2.7 (no probado con Python 3)
• Las siguientes bibliotecas, que se pueden instalar usando pip install -r requirements.txt:
  • requests>=2.11
  • tabulate
  • pyscrypt
  • pycrypto

El controlador de DBC2 ha sido probado y utilizado con éxito en Linux Kali y Mac OSX.

En el lado del agente, DBC2 requiere:

• .Net framework >= 4.5 (probado con éxito en Windows 7 y Windows 10)

Aspectos de seguridad

El controlador de DBC2 solicita una contraseña maestra al iniciarse. Esta contraseña se deriva en una clave maestra de 128 bits mediante el uso de la función PBKDF de la biblioteca pyscrypt. La clave maestra se codifica en base64 y puede (opcionalmente) guardarse en el archivo de configuración.

DBC2 realiza cifrado de extremo a extremo de los datos utilizando la clave maestra con modo AES-128/CBC. Los datos intercambiados entre el agente y el controlador fluyen a través de los servidores de Dropbox, por lo que, aunque la transferencia en sí está cifrada gracias a HTTPS, los datos deben estar cifrados de extremo a extremo para protegerlos mientras están en reposo en los servidores de Dropbox.

DBC2 también realiza ofuscación de las etapas y los módulos mediante el uso de cifrado XOR, que es un cifrado débil pero suficiente para simplemente ofuscar algunos códigos conocidos y públicamente disponibles. La clave utilizada para realizar el cifrado XOR es un hash SHA256 de la clave maestra.

Instalación y configuración

La instalación es bastante sencilla:

• Clonar este repositorio con Git: git clone https://github.com/Arno0x/DBC2 dbc2
• Entrar en la carpeta DBC2: cd dbc2
• Instalar los requisitos usando pip install -r requirements.txt
• Dar permisos de ejecución al script principal: chmod +x dropboxC2.py

Para iniciar el controlador, simplemente escribe ./dropboxC2.py.

La configuración se realiza a través del archivo config.py:

• Opcionalmente puedes especificar tu token de acceso a la API de Dropbox y la clave maestra codificada en base64. Si lo haces, el controlador no te los pedirá al iniciarse.

DBC2 también está disponible como contenedor Docker, así que: Consulta DBC2 en Docker hub. O simplemente: docker pull arno0x0x/dbc2

Compilando tu propia etapa del agente

Puedes compilar muy fácilmente tus propios ejecutables de la etapa del agente a partir del código fuente proporcionado. No necesitas tener Visual Studio instalado.

• Copia la carpeta agent/source en una máquina Windows con .Net framework instalado
• Ve al directorio source
• Usa el compilador de C# de línea de comandos de .Net:
  • Para obtener el ejecutable estándar del agente: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /out:dbc2_agent.exe *.cs
  • Para obtener la versión de depuración: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /define:DEBUG /out:dbc2_agent_debug.exe *.cs

AVISO LEGAL

Esta herramienta está destinada a ser utilizada solo de manera legal y legítima:

• ya sea en sus propios sistemas como medio de aprendizaje, de demostración de lo que se puede hacer y cómo, o probando sus mecanismos de defensa y detección
• en sistemas para los que haya sido oficial y legítimamente autorizado a realizar evaluaciones de seguridad (pentest, auditorías de seguridad)

Citando a los autores de Empire: No hay manera de construir herramientas ofensivas útiles para la industria legítima de seguridad informática mientras se impide simultáneamente que actores maliciosos las abusen.

Autor

Arno0x0x - Puedes contactarme en mi página de Twitter (@Arno0x0x).

PENDIENTE

Esta es aún una versión beta de esta herramienta, y mi primer proyecto desarrollado con Python y C#. Por lo tanto, probablemente esté llena de errores, no escrita de la manera más Pythónica o de la forma más CSharp. Las correcciones de errores y las mejoras vendrán con el tiempo a medida que reciba comentarios sobre esta herramienta.

Para agregar en las próximas versiones:

• Recopilar información básica del sistema para cada agente al inicio
• Crear algún evento básico en el lado del agente y suscripción a eventos y acción automática en el lado del controlador (ej: "máquina bloqueada o protector de pantalla iniciado" permitiría alguna actividad visible como enviar pulsaciones de teclas a algunos procesos, o "se ha establecido un proceso o conexión determinada")
• Agregar opción para que la etapa se persista automáticamente al primer inicio
• Posibilidad de asignar más de una tarea a la vez a un agente

Para corregir:

• Corregir la falta de cifrado en la función "sendFile" (debido a mi pereza: en el lado del agente quería aprovechar la función WebClient->DownloadFile y no estoy seguro de cómo poner mi rutina de descifrado en medio del flujo sin tener que reescribir esta función manualmente). Este es el único dato que no está cifrado. Cualquier cosa que fluya del agente de vuelta al controlador a través de los servidores de Dropbox está debidamente cifrada.