WebDAVC2

ÚLTIMA/VERSIÓN ACTUAL: 0.3

Autor: Arno0x0x - @Arno0x0x

WebDavC2 es una Prueba de Concepto (PoC) del uso del protocolo WebDAV con solicitudes PROPFIND únicamente para servir como canal de comunicación C2 entre un agente, que se ejecuta en el sistema objetivo, y un controlador que actúa como el servidor C2 real.

La herramienta se distribuye bajo los términos de la licencia GPLv3.

Información de antecedentes

Consulte esta entrada de blog sobre cómo y por qué se me ocurrió la idea de usar solicitudes PROPFIND de WebDAV únicamente como canal C2:

Wordpress:Using WebDAV features as a covert channel

Arquitectura

WebDavC2 se compone de:

• un controlador, escrito en Python, que actúa como servidor C2
• un agente, escrito en C#/.Net, que se ejecuta en el sistema objetivo, entregado al sistema objetivo mediante varios stagers iniciales
• varias variantes de stagers iniciales (creados sobre la marcha cuando el controlador se inicia) utilizados para el compromiso inicial del sistema objetivo

Características

Características principales de WebDavC2:

• Varios stagers (powershell one liner, archivo batch, diferentes tipos de macro de MS-Office, archivo JScript) - esto no es limitado, puede crear fácilmente sus propios stagers, consulte la carpeta templates para hacerse una idea
• Shell pseudo-interactiva (con persistencia de entorno)
• Inicio automático del servicio WebClient, incluso desde un usuario no privilegiado usando el truco 'pushd'

Instalación y Configuración

La instalación es bastante sencilla:

• Clonar este repositorio con Git: git clone https://github.com/Arno0x/WebDAVC2 WebDavC2
• Entrar en la carpeta WebDavC2: cd WebDavC2
• Dar derechos de ejecución al script principal: chmod +x webDavC2.py

Para iniciar el controlador, simplemente escriba ./webDavC2.py.

Compilando su propio agente

Aunque está perfectamente bien usar el agent.exe proporcionado, puede compilar fácilmente sus propios ejecutables del agente a partir del código fuente proporcionado. No necesita tener Visual Studio instalado.

• Copie el archivo agent/agent.cs en una máquina Windows con el framework .Net instalado
• Acceda al directorio fuente con CD
• Use el compilador de línea de comandos C# de .Net:
  • Para obtener el ejecutable estándar del agente: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /out:agent.exe *.cs
  • Para obtener la versión de depuración: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /define:DEBUG /out:agent_debug.exe *.cs

DESCARGO DE RESPONSABILIDAD

Esta herramienta está destinada a ser utilizada solo de forma legal y legítima:

• ya sea en sus propios sistemas como medio de aprendizaje, de demostración de lo que se puede hacer y cómo, o para probar sus mecanismos de defensa y detección
• en sistemas para los que ha sido oficial y legítimamente autorizado a realizar evaluaciones de seguridad (pentest, auditorías de seguridad)

Citando a los autores de Empire: No hay manera de construir herramientas ofensivas útiles para la industria legítima de la seguridad de la información mientras se previene simultáneamente que actores maliciosos abusen de ellas.

PENDIENTE

Esta herramienta es solo una PoC, así que no espere calidad de producción, además tiene algunas limitaciones arbitrarias en términos de cantidad de datos que pueden transferirse del agente de vuelta al controlador.

Por agregar:

• ¿más stagers?

Por corregir:

• Aumentar el límite de tamaño (arbitrario) de la salida del comando que puede ser devuelta al controlador
• Estoy esperando comentarios :)