F31: Ocultando Kali Linux

F31 es un script de bash que endurece tu Kali Linux y te permite minimizar el ruido en el aire. Útil para pentesters u operadores de Red Team donde es importante tener un impacto mínimo en la infraestructura para evitar problemas de rendimiento de la red.

La herramienta no te garantiza una evasión total del SOC, ya que las infraestructuras de red son diferentes, cada caso de análisis de seguridad es único. El objetivo principal de F31 es minimizar el ruido en el aire.

Descargo de responsabilidad

Este artículo y herramienta es de carácter introductorio y está destinado a profesionales de seguridad que realizan pruebas bajo contrato. La distribución de malware, la interrupción de sistemas y la violación del secreto de la correspondencia serán perseguidas. El autor no se hace responsable de ningún daño causado por esta herramienta.

Mecánica

El script realiza las siguientes operaciones:

1. Instalación de las herramientas necesarias. iptables para la configuración del FW, tc del paquete iproute2 para el modelado de tráfico y macchanger para el cambio de MAC
2. Cambio de hostname. Sí, cambiar el hostname en Kali puede parecer algo mundano, pero el hostname predeterminado de Kali es uno de los grandes desencadenantes. Siempre deberías cambiar el hostname predeterminado por otro hostname
3. Deshabilitar la transmisión del hostname vía DHCP en la configuración del Network Manager "Wired Connection". Ten en cuenta que F31 hace referencia al archivo /etc/NetworkManager/system-connections/Wired\ connection\ 1
4. Aumento del TTL y desplazamiento del TTL +1 para evadir el rastreo de paquetes durante un ataque MITM
5. Deshabilitar el cliente NTP
6. Configuración del firewall. Permitir conexiones establecidas y encadenadas, bloquear conexiones inválidas, restringir el tráfico ICMP, bloquear valores TCP MSS inesperados
7. Deshabilitar ICMP Redirect. Los sistemas de seguridad IDS/IPS pueden activarse con mensajes ICMP Redirect, lo que puede exponer al atacante.
8. Aleatorización de la dirección MAC. Un clásico del género.
9. Traffic Shaping. Minimiza el ruido para el funcionamiento cuidadoso de los escáneres y no sobrecargar el equipamiento de red. Limita a 30Kbit/s, 800 ms de latencia

Cómo usar

Es bastante simple, clona el repositorio, otorga permisos de ejecución a los scripts de bash.

caster@kali:~$ git clone https://github.com/wearecaster/F31
caster@kali:~$ cd F31/
caster@kali:~/F31$ chmod +x F31.sh reset.sh

F31 requiere privilegios de root para ejecutarse

caster@kali:~$ sudo bash F31.sh
███████ ██████   ██ 
██           ██ ███ 
█████    █████   ██ 
██           ██  ██ 
██      ██████   ██ 
                    
F31: Tool for hiding Kali Linux on the network
Author: Caster, @wearecaster, <[email protected]>
Version: 1.0.0
For instructions and an example of how to use it, visit: https://github.com/wearecaster/F31
Usage: F31.sh --interface <interface> --new-hostname <hostname> [--noise-reduction]

Options:
  --interface       Specify the network interface to hide
  --new-hostname    Specify the new hostname for the system
  --noise-reduction Enable traffic shaping for noise reduction (optional)

La herramienta esperará dos argumentos por entrada. Estos son la interfaz del sistema y el nuevo hostname que el usuario de Kali desee.

El argumento responsable de activar el traffic shaping es opcional. Puede que no siempre sea necesario para el atacante. Y el traffic shaping afectará a la velocidad de descarga de archivos, etc. en el futuro. Usa la reducción de ruido con prudencia.

caster@kali:~/F31$ sudo bash F31.sh --interface eth0 --new-hostname ubuntu --noise-reduction
███████ ██████   ██ 
██           ██ ███ 
█████    █████   ██ 
██           ██  ██ 
██      ██████   ██ 
                    
F31: Tool for hiding Kali Linux on the network
Author: Caster, @wearecaster, <[email protected]>
Version: 1.0.0
For instructions and an example of how to use it, visit: https://github.com/wearecaster/F31
[+] Tools are already installed.

[+] Changing hostname
[*] Hostname changed to ubuntu successfully.

[+] Enabling hostname transfer via DHCP
[*] Hostname through DHCP disabled successfully.

[+] Disabling NTP client
[*] NTP client shut down successfully.

[+] Increasing and shifting TTL (TTL=80)
[*] TTL values adjusted successfully.

[+] Configuring firewall
[*] Allowing established and chained connections, blocking invalid connections, restricting ICMP traffic, blocking unexpected TCP MSS values
[*] Firewall configuration successfully.

[+] Disabling ICMP Redirect
[*] ICMP Redirects disabled successfully.

[+] Changing MAC
[*] Randomize MAC configured successfully.

[+] Limit data rate to 30 kbit/s and latency 600ms to minimize noise in L2/L3 scanning.
[+] WARNING: This change will severely affect the speed of file downloads. Use this shaping exactly before scanning
[+] If necessary, adjust this value yourself
[*] Traffic shaping configured successfully.
[*] Script executed successfully.

Revertir cambios

He preparado un script especial para revertir todas las configuraciones realizadas.

caster@kali:~/F31$ sudo bash reset.sh --interface eth0 --old-hostname kali
███████ ██████   ██ 
██           ██ ███ 
█████    █████   ██ 
██           ██  ██ 
██      ██████   ██ 
                    
F31: Tool for hiding Kali Linux on the network (Reset script)
Author: Caster, @wearecaster, <[email protected]>
Version: 1.0.0
For instructions and an example of how to use it, visit: https://github.com/wearecaster/F31

[+] Restoring MAC

[+] Enabling ICMP Redirect

[+] Disabling NTP client
[*] NTP client disabled successfully.

[+] Restoring firewall configuration

[+] Enabling hostname transfer via DHCP

[+] Resetting TTL (TTL=64)

[+] Restoring hostname

[+] Removing traffic shaping (noise reduction)
[+] Traffic shaping removed
[*] Reset script executed successfully

Conclusión

Esta herramienta no es una panacea, debes entender qué estás haciendo en la infraestructura y evitar el riesgo tanto como sea posible.