USP

Características

Este programa en Go establece persistencia en un sistema Linux creando una regla udev que desencadena la ejecución de un payload (binario o script) especificado. Ofrece dos opciones de activación:

• Persistencia USB: El payload se ejecuta cada vez que se inserta un dispositivo USB.
• Persistencia de arranque: El payload se ejecuta durante el arranque del sistema, aprovechando el dispositivo /dev/random.

Además, proporciona una opción de limpieza para eliminar la persistencia establecida.

Uso

1. Compila el script Go: go build -o usp

2. Ejecuta el script con privilegios de root (sudo): sudo ./usp

Puedes personalizar el comportamiento usando los siguientes flags:

• -f <filename>: Especifica la ruta donde se escribirá el payload (por defecto: /usr/local/bin/persistence).
• -p <payload>: Especifica la ruta al archivo del payload (binario o script) que se ejecutará. Este flag es obligatorio.
• -r <rulesname>: Especifica el nombre del archivo de reglas udev (por defecto: 75-persistence.rules).
• -usb: Activa la persistencia USB.
• -random: Activa la persistencia de arranque usando /dev/random.
• -c: Limpia la persistencia, eliminando el archivo del payload y la regla udev.

Ejemplo

• El siguiente usa el método de persistencia USB para ejecutar example.sh cada vez que se conecta un dispositivo USB.

sudo ./usp -p ./example.sh 

• El siguiente usa el método de persistencia "random" para ejecutar my_backdoor_binary cada vez que se carga /dev/random (como durante el arranque). Se instala en /bin/ripgrep (disfrazándose como el binario ripgrep). Además, el archivo de reglas se crea en /etc/udev/rules.d/123-notsektchy.rules

sudo ./usp -random  -f /bin/ripgrep -p my_backdoor_binary -r 123-notsketchy.rules

Referencias y Lectura Adicional

• https://www.aon.com/en/insights/cyber-labs/unveiling-sedexp
• https://ch4ik0.github.io/en/posts/leveraging-Linux-udev-for-persistence/
• https://opensource.com/article/18/11/udev