Medusa

Medusa es un agente multiplataforma compatible con Python 3.8 y Python 2.7.

Instalación

Para instalar Medusa, necesitarás tener Mythic v3 instalado en una computadora remota. Puedes encontrar las instrucciones de instalación de Mythic en la página del proyecto Mythic.

Desde la raíz de instalación de Mythic, ejecuta el comando:

./mythic-cli install github https://github.com/MythicAgents/Medusa.git

Una vez instalado, reinicia Mythic para compilar un nuevo agente.

Notas de configuración de RabbitMQ

El archivo Payload_Type/medusa/rabbitmq_config.json es una plantilla y debe coincidir con tu entorno de Mythic.

• Establece rabbitmq_password con el valor de RABBITMQ_PASSWORD de tu Mythic (normalmente desde el .env de Mythic).
• Establece rabbitmq_host con el nombre de tu host/contenedor RabbitMQ (a menudo mythic_rabbitmq en configuraciones docker-compose, o 127.0.0.1 para enlaces locales).
• Establece mythic_server_host con el nombre de tu host/contenedor del servidor Mythic (a menudo mythic_server en configuraciones docker-compose, o 127.0.0.1 para enlaces locales).

Características destacadas

• Carga/descarga dinámica de funciones del agente para limitar la exposición de las capacidades del agente en disco.
• Carga de módulos Python en memoria para su uso en scripts personalizados.
• Proxy SOCKS5 multiplataforma
• Lector de portapapeles de macOS, capturador de pantallas y análisis de la base de datos TCC
• Compatibilidad con el navegador de archivos con subida/descarga
• Eval() de código Python dinámico
• Compatibilidad con proxy de autenticación básica

Referencia rápida del manual de comandos

El agente base y los comandos incluidos usan librerías Python integradas, por lo que no necesitan paquetes adicionales para funcionar. Los agentes ejecutan los comandos en subprocesos, por lo que las subidas o descargas de larga duración no bloquearán al agente principal.

Comandos generales

Comandos de macOS

Comandos de Windows

Versiones de Python

Ambas versiones del agente Medusa usan una implementación AES256 HMAC escrita con librerías integradas (adaptada de aquí), lo que elimina la necesidad de dependencias adicionales más allá de una instalación estándar de Python. Como tal, el agente debería funcionar en hosts Windows, Linux y macOS. Vale la pena mencionar que esta implementación criptográfica introduce cierta sobrecarga al manejar archivos grandes (capturas de pantalla, descargas, etc.), pero es manejable.

Comandos Py2 vs Py3

Dentro del directorio Payload_Type/Medusa/agent_code, verás archivos base_agent con sufijos py2 y py3. Del mismo modo, se pueden ver extensiones similares en los archivos de funciones individuales.

builder.py los lee para seleccionar primero la versión base correcta de Python del agente Medusa. Luego, builder.py incluirá comandos específicos de la versión de Python elegida. En el caso de que un comando solo tenga la extensión .py, se usará por defecto, asumiendo que no se necesita código alternativo entre las versiones Py2 y Py3.

Trabajos en hilos

Medusa usa subprocesos básicos para la ejecución de trabajos. Cuando los trabajos pueden ser de larga duración, se pueden implementar con una 'comprobación de detención' para responder a una señal de la tarea jobkill. Esto se puede implementar con un fragmento de código similar al que se muestra a continuación:

if [task for task in self.taskings if task["task_id"] == task_id][0]["stopped"]:
  # Some job-specific tidy up
  return "Job stopped."

Este manejador se puede ver implementado dentro de los comandos download, upload, watch_dir y screenshot.

Además, si se espera que el trabajo de larga duración proporcione una salida continua, la función sendTaskOutputUpdate (incluida en el agente base) se puede usar para actualizar Mythic antes de que finalice la tarea. A continuación se puede ver una función dummy que proporciona salida continua y a la que se le puede aplicar jobkill.

def dummyFunction(self, task_id):
  while(True):
      # Check if we've got a stop signal.
      if [task for task in self.taskings if task["task_id"] == task_id][0]["stopped"]: return "Job stopped."

      # Send output back to Mythic
      self.sendTaskOutputUpdate(task_id, "We're still running")

      time.sleep(10)

Perfiles C2 compatibles

Medusa actualmente es compatible con dos perfiles C2: http (con y sin cifrado AES256 HMAC) y azure_blob.

Perfil HTTP

El perfil HTTP se comunica con el servidor Mythic mediante el perfil básico no dinámico. Solicitudes GET para tareas, solicitudes POST con respuestas.

Agradecimientos

• Scripts de navegador y código de agente adaptados de @its_a_feature_ y @djhohnstein.
• MacC2 y esta publicación de blog de Cedric Owens
• EmPyre y esta publicación de blog de Chris Ross.
• La magia criptográfica que se encuentra aquí.
• Ícono del agente de flaticon.com