jackofmosttrades/blueboxKit de explotación automatizado para CVE-2015-6095 y CVE-2016-0049
Nota; este repositorio hace referencia a repositorios externos (conocidos como submódulos de Git). Después de clonar este repositorio, asegúrese de ejecutar los siguientes comandos para clonar esos submódulos:
git submodule init
git submodule update
BlueBox es una colección de scripts y configuraciones para la explotación automatizada de MS15-122 y MS16-014 (ver también CVE-2015-6095 y CVE-2016-0049).
Información adicional sobre esta vulnerabilidad se puede encontrar en la presentación y documento técnico de BlackHat EU 2015 realizada sobre este tema, o en la charla actualizada presentada en BSides Seattle 2015.
Este exploit permite a un atacante omitir la pantalla de inicio de sesión de máquinas Windows que utilizan autenticación de dominio. Esto se puede usar para leer los datos de un usuario, evitando las protecciones de cifrado de disco completo, para atacar rápidamente máquinas desatendidas con el fin de instalar un kit de acceso remoto u otro malware, y se puede utilizar para hacer cualquiera de lo anterior sin desconectar la máquina.
Para una demostración rápida, he grabado los siguientes vídeos:
BlueBox: Ataque Oportunista a Portátil
BlueBox: Ataque Oportunista a Portátil
BlueBox: Ataque con Tiempo de Inactividad Cero
Este repositorio incluye algunos scripts de inicio y archivos de configuración para el despliegue de estos scripts en un sistema basado en Debian (la demo antes mencionada se ejecuta en Raspbian, una distribución Debian para Raspberry Pi). Sin embargo, no es necesario ejecutar estas herramientas en esa plataforma; podría configurar igualmente un portátil normal y un sistema operativo arbitrario para ejecutar estos scripts de Python y un servidor DHCP.
Los scripts en el subdirectorio init-scripts se pueden usar para iniciar los servidores maliciosos al arrancar; esto es particularmente útil cuando se utiliza un dispositivo dedicado sin cabeza (como la Raspberry Pi). Puede colocar esos scripts en /etc/init.d y ejecutar
update-rc.d evil-server-{dns,kdc,ldap,netbios} defaults
Este repositorio tiene configuraciones para dos estilos de despliegue; como una herramienta simple de omisión de pantalla de bloqueo, o como una herramienta de ataque con tiempo de inactividad cero. A continuación se encuentran más descripciones e instrucciones de configuración.
El uso previsto de esta configuración sería obtener acceso oportunista a una estación de trabajo cliente, como un portátil desatendido. El despliegue requiere un servidor DHCP independiente; un archivo de configuración de ejemplo para el Servidor DHCP de ISC está disponible. Varios de los servidores maliciosos están codificados para referirse a la máquina actual con la dirección IP 192.168.0.1, por lo que se incluye una configuración de red de ejemplo que le asigna a eth0 esta IP estática.
Aunque no es necesario, también puede optar por instalar un servidor FTP/HTTP en la máquina anfitriona para servir una carga útil maliciosa que pueda ser ejecutada por el atacante en la máquina víctima.
Esta configuración requiere dos dispositivos ethernet físicos y permite que el dispositivo de ataque funcione en capacidad de intermediario (man-in-the-middle). Esta configuración puentea los dos dispositivos ethernet para permitir que el tráfico pase sin cambios, haciendo que el dispositivo sea transparente en la red. Sin embargo, su configuración de netfilter redirigirá el tráfico Kerberos al localhost (es decir, al servidor malicioso), lo que permite a un atacante omitir la pantalla de inicio de sesión de un servidor en funcionamiento.
Para desplegar esta configuración, sus dispositivos ethernet deben configurarse para ser puenteados. La configuración requiere el uso de netfilter en la interfaz del puente, por lo que debe agregar el módulo br_netfilter a /etc/modules. Para configurar ebtables e iptables para secuestrar el tráfico Kerberos, debe colocar la configuración de ebtables en el directorio /etc/network/if-up.d/, el script de iptables en el directorio /etc/network/if-pre-up.d/, y el archivo iptables.up.rules en /etc.
Esta configuración también secuestra el tráfico HTTP destinado a 10.254.254.254 y lo redirige a un servidor local, que se puede utilizar como una forma conveniente de descargar una carga útil maliciosa a la máquina víctima. Si hace esto, la máquina también debería tener algún tipo de servidor web (por ejemplo, apache2) instalado.