bluepigeonproject/blue-pigeonBlue Pigeon es una herramienta de exfiltración de datos y proxy basada en Bluetooth para permitir la comunicación entre un servidor remoto de Comando y Control (C2) y un host comprometido.
Blue Pigeon: Herramienta de Exfiltración de Datos y Proxy basada en Bluetooth para Red Teamers
Los Componentes | Diseccionando al Pidgey
1. Blue Pigeon - La Aplicación Móvil
2. Blue Beak - Hooks Personalizados de EdXposed Framework
3. Blue Dispatcher - Módulo .NET para el equipo comprometido
Blue Pigeon es una herramienta de exfiltración de datos y proxy basada en Bluetooth que permite la comunicación entre un servidor remoto de Comando y Control (C2) y un equipo comprometido.
Inspirado en la capacidad de la Paloma Mensajera para transportar mensajes de vuelta a su hogar, Blue Pigeon imita ese comportamiento de retorno y entrega mensajes/payloads entre el agente (equipo comprometido) y su nido (aplicación móvil y posteriormente proxy al servidor C2).
Blue Pigeon se desarrolla como una aplicación Android para que el Red Teamer la despliegue en las proximidades del equipo comprometido y es particularmente útil en operaciones de Red Team donde las comunicaciones a través de canales tradicionales (web, correo electrónico, DNS) no están disponibles.
Ampliando la técnica de “Exfiltración sobre Protocolo Alternativo” (ID: T1048) bajo la táctica de Exfiltración del marco MITRE AT&CK, Blue Pigeon proporciona una novedosa forma de establecer Comando y Control y realizar exfiltración de datos como una Acción sobre Objetivo de la Cadena de Ciberataque, utilizando el uso compartido de archivos por Bluetooth como medio de exfiltración.
Blue Pigeon es creado por @mahchiahui, @jingloon y @cloudkanghao
(Fuente: https://spectrum.ieee.org/tech-history/silicon-revolution/consider-the-pigeon-a-surprisingly-capable-technology)
Establecer Comando y Control y realizar exfiltración de datos son fases clave en la Cadena de Ciberataque, pero a menudo conllevan complicaciones e implicaciones graves si se hacen incorrectamente. En una operación de Red Team, un intento fallido podría dejar rastros permanentes en los registros de actividad de la red y alertar a los mecanismos de detección.
En algunos de nuestros ejercicios de Red Team, nos encontramos en la necesidad de una forma de exfiltrar datos y comunicarnos con el equipo comprometido sin tener que pasar por los canales tradicionales (web, correo electrónico, DNS).
Con pocas soluciones disponibles para abordar esta necesidad, exploramos varias ideas de exfiltración basadas en vectores inalámbricos/radio. Como resultado, Blue Pigeon fue creado para ampliar nuestro conjunto de herramientas de Red Team.
Blue Pigeon se ejecuta como un servicio en primer plano dentro de un teléfono móvil Android. Cuando el Red Teamer/Insider Malicioso despliega el teléfono en proximidad al equipo comprometido (infectado con el payload de Blue Dispatcher), Blue Pigeon podrá servir como punto de exfiltración y proxy de relevo de comandos a un servidor C2 remoto (a.k.a Blue Coop).
Haz clic aquí para ver un video demo de Blue Pigeon en acción
Blue Pigeon fue diseñado con los siguientes requisitos clave:
Blue Pigeon debe permitir la exfiltración de datos mientras evade la detección a varios niveles:
Evasividad de detección de tráfico de red: La exfiltración de datos desde el equipo comprometido no puede pasar por canales de comunicación tradicionales, ya que es probable que sean registrados y monitoreados por la detección y respuesta de endpoints estándar. (y ya hay muchas otras opciones mejores, ¿por qué reinventar la rueda, verdad?)
Evasividad de detección humana: La exfiltración de datos debe ocurrir sin indicadores visuales en la máquina de la víctima, ya que se espera que todavía esté usando la máquina comprometida en el peor de los casos.
Blue Pigeon debe mantener el sigilo, es decir, pasar desapercibido en el campo de despliegue.
Laptops voluminosas, Raspberry Pis y kits caseros de hacker son un No rotundo, ya que limitan las posibilidades y viabilidad del despliegue. Necesitamos una paloma pequeña y de aspecto inocente, no un pavo real alfa.
Blue Pigeon se oculta dentro de un teléfono Android típico que el Red Teamer/Insider Malicioso puede llevar al campo. Nadie sospecha de un teléfono móvil...
En el raro caso de que el Red Teamer sea desafiado a una inspección, Blue Pigeon puede disfrazarse como una aplicación discreta para adaptarse al contexto de la operación. En la prueba de concepto base, la aplicación móvil está disfrazada como una aplicación de optimizador de batería. Siéntete libre de hacer un fork del repositorio y darle a Blue Pigeon un cambio de imagen estético.
Blue Pigeon debe evitar que el Red Teamer revele señales de un intento de exfiltración mientras despliega el teléfono.
Blue Pigeon debe mantener la máxima disponibilidad para (y solo para) el equipo comprometido mientras esté desplegado.
Blue Pigeon debe poder mantenerse activo para capturar los mensajes entrantes sin intervención regular del Red Teamer.
Blue Pigeon debe poder resistir solicitudes maliciosas/intentos de DoS y mantener la disponibilidad para el host objetivo.
Blue Pigeon está diseñado como un marco de tres partes que comprende los siguientes componentes:
Blue Pigeon es la aplicación móvil Android que actúa como proxy intermediario entre el equipo comprometido y el servidor C2 (a.k.a Blue Coop). Blue Pigeon se comunica con el equipo comprometido (infectado con el payload de Blue Dispatcher) a través del uso compartido tradicional de archivos Bluetooth (usando OBEX). Los datos se exfiltran del host como objetos JSON dentro de archivos de texto. Esto se puede personalizar editando la clase BluePigeonListener en el paquete com.csg.bluepigeon.pigeon y puede ser posteriormente retransmitido a un Blue Coop remoto. Al recibirlo, también se conservará una copia del mensaje en el directorio /sdcard/blue_pigeon/backup.
En este repositorio, Blue Pigeon se presenta en forma de una aplicación de Optimizador de Batería de aspecto simple. Sin embargo, se puede renovar a otros estilos de interfaz de usuario. Siéntete libre de personalizar la UI de Blue Pigeon según las necesidades de tu operación editando el paquete com.csg.bluepigeon.ui.
Nada que ver aquí... ¡solo una inocente aplicación de Optimizador de Batería!
El paquete Blue Beak alberga un conjunto de Hooks personalizados del EdXposed Framework* escritos para eludir las restricciones de la API Bluetooth de Android moderno (Android 9/10):
BlueBeakHook: inspecciona la solicitud de transferencia de archivos entrante y decide si consumirla o no. Emplea autenticación mediante una frase de contraseña secreta configurable para asegurarse de que los mensajes entrantes provienen de fuentes confiables. No queremos que consuma accidentalmente una solicitud maliciosa grande (mitigación de ataque DoS por acaparamiento). También rechaza nombres de archivo ya consumidos (mitigación de ataque de replay). (Ver Consideraciones de Seguridad)
CooCooHook: evita el tiempo de espera predeterminado del Modo Descubrible de Bluetooth de Android para asegurarse de que el teléfono móvil continúe transmitiendo paquetes de descubrimiento mientras esté desplegado en el campo. Esto es necesario para que el equipo comprometido pueda escanear y conectarse a Blue Pigeon en cualquier momento de la operación.
NoPopupHook: evita la generación de ventanas emergentes de Transferencia de Archivos Bluetooth en el sistema operativo Android y permite aceptar o rechazar solicitudes mediante código. Esto es para evitar que el Red Teamer esté constantemente pendiente del teléfono para aceptar los mensajes entrantes. Sospechoso, colega, sospechoso...
BirdIsAliveHook: proporciona un pequeño y limpio indicador visual junto al reloj del sistema para indicar que todo está bien y listo para el despliegue.
El arte conceptual fue bastante acertado.
*¿Por qué EdXposed? Bueno... nos topamos con 2 problemas importantes en la fase temprana de conceptualización:
1. Debido a preocupaciones de seguridad, el sistema operativo Android moderno ya no permite que las aplicaciones acepten o filtren programáticamente las solicitudes entrantes de transferencia de archivos Bluetooth. Esto es problemático porque el modus operandi de Blue Pigeon depende de que pueda inspeccionar las solicitudes entrantes y aceptarlas o rechazarlas en tiempo real.
2. El tiempo máximo predeterminado del tiempo de espera del Modo Descubrible de Bluetooth de Android es de 3600 segundos (1 hora). Cumplir con este límite significaría que el Red Teamer tendría que actualizar manualmente Blue Pigeon con frecuencia, lo cual es bastante inviable y puede dificultar el desarrollo de la operación.
Para abordar estos problemas de manera efectiva, decidimos utilizar el EdXposed Framework, que proporciona hooking del Android Runtime (ART), y escribir nuestros hooks personalizados para eludir las restricciones a nivel del sistema operativo de forma modular.
Blue Dispatcher contiene los módulos .NET para generar, enviar y recibir payloads hacia y desde Blue Pigeon utilizando la pila Bluetooth de Windows. El módulo permite que la transferencia de archivos ocurra sin necesidad de autenticación de seguridad Bluetooth entre Blue Pigeon y el equipo comprometido, es decir, emparejamiento de dispositivos. Esto ayuda a mantener la evasividad (un requisito clave) ya que no aparecerán ventanas emergentes visuales en la máquina de la víctima, lo que podría generar sospechas.
Impresión artística del desarrollador de una operación fallida debido a sabotaje visual.
La mayoría de los módulos Bluetooth subyacentes utilizados por Blue Dispatcher provienen de la conocida y muy potente librería 32feet.
Blue Dispatcher tiene opciones que permiten a los usuarios introducir flags para la transmisión.
| Flag | Descripción |
|---|---|
| --device, -d | El dispositivo móvil al que enviar |
| --message, -m | La cadena de texto a enviar |
C:\Users\user>.\BlueDispatcher.exe
Usage: BlueDispatcher [options]
Options:
-m|--message Message to send to server
-d|--device Device to send to
C:\Users\user>.\BlueDispatcher.exe -d "Pixel 3 XL" -m "fly pigeon fly"
Nota: Implementa tu propio cifrado a nivel de aplicación en Blue Dispatcher si es necesario, ya que los payloads se transfieren a través de RFCOMM en texto plano.
Para desplegar Blue Pigeon para tus necesidades de exfiltración de datos, se requiere lo siguiente:
Blue Pigeon requiere un teléfono Android rooteado + Magisk.
Instala riru-core y riru-edxposed a través de Magisk. Reinicia el dispositivo Android después de instalar los módulos.
Inicia Blue Pigeon abriendo la aplicación "Battery Optimizer".
El endpoint de Blue Coop y la frase de contraseña secreta (utilizada para la autenticación) se pueden configurar haciendo clic en los botones de la esquina superior izquierda.
Como herramienta ofensiva, sería algo embarazoso si Blue Pigeon fallara ante simples intentos de otros atacantes o detractores de pájaros.
Para empezar*, Blue Pigeon está diseñado con protección contra estos pocos ataques potenciales:
Una limitación de usar el uso compartido de archivos Bluetooth como medio de exfiltración es su falta de transferencia asíncrona. Como solo puede ocurrir un proceso de transferencia de archivos a la vez, Blue Pigeon debe tener cuidado de permitir y consumir solo las solicitudes entrantes legítimas.
Si un adversario en las cercanías puede crear una solicitud falsa y engañar a Blue Pigeon para que la acepte, podría inducir un ataque DoS temporal contra la configuración enviando un archivo ficticio excesivamente grande. El atacante incluso podría intentar comprometer el teléfono móvil o el Blue Coop remoto con contenido malicioso incrustado en el archivo.
Para mitigar tales ataques potenciales, los nombres de archivo de las solicitudes de archivos entrantes se autentican utilizando un esquema de autenticación HMAC con una frase de contraseña compartida configurable.
El procedimiento de verificación de nombre de archivo se desglosa en los siguientes pasos:
BP-e2211d9e19f1669d1a09ea4828d3e2bc171a10bce71cafb53a64179f497273ea.txtprovidedHash y randHmacSHA512(rand, passphrase) contra el providedHash (comparando los primeros 32 dígitos hexadecimales/16 bytes)La lógica de verificación de nombre de archivo reside en com.csg.bluepigeon.util.EncryptionManager y se puede personalizar en consecuencia.
Nota del desarrollador: En realidad, la verificación de la dirección MAC del remitente sería lo más ideal, pero optamos por la verificación del nombre de archivo, ya que sería difícil determinar la dirección MAC Bluetooth de la víctima de antemano.
Otra vía de ataque sería mediante ataques de replay. Un adversario en las cercanías podría potencialmente interceptar el tráfico de comunicación y obtener un nombre de archivo que fue aceptado previamente. Luego podría intentar reutilizar / "reproducir" el nombre de archivo y enviar una solicitud de transferencia de archivos falsa a Blue Pigeon. Del mismo modo, una solicitud de transferencia de archivos falsa suficientemente grande podría inducir un DoS temporal contra la configuración.
Para mitigar esto, no se permitirá reutilizar los nombres de archivo. Blue Beak se asegurará de que el nombre de archivo entrante no haya sido consumido antes (consultando la carpeta /sdcard/blue_pigeon/backup).
En este repositorio base, el componente rand del nombre de archivo tiene 32 dígitos hexadecimales/16 bytes de longitud, lo que proporciona una tasa de colisión de aproximadamente 1 en 2^128 (cálculo trivial, asumiendo buena aleatoriedad).
Los umbrales de colisión se pueden ajustar personalizando la estructura del nombre de archivo y el esquema de verificación. Los códigos relevantes residen en com.csg.bluepigeon.util.EncryptionManager.
*Si has descubierto alguna otra oportunidad de matar pájaros que hayamos pasado por alto y/o deseas contribuir a endurecer Blue Pigeon, no dudes en crear un issue o pull request.
No dudes en crear issues y enviar pull requests.