Abaddon

Las operaciones de red team implican habilidades variadas, duran varios meses y son políticamente sensibles; requieren mucha monitorización, consolidación y precaución. El software de gestión de operaciones de red team de Wavestone, Abaddon, ha sido diseñado para hacer las operaciones de red team más rápidas, más repetibles, más sigilosas, al mismo tiempo que incluye herramientas de valor añadido y aporta numerosas capacidades de generación de informes.

Porque:

• Existen montones de herramientas utilizadas por los red teamers
• ... pero ningún software de gestión de operaciones (y gratuito y de código abierto)
• ... y tampoco hay agregación entre estas herramientas
• ... y los fallos de "Seguridad Operativa" son comunes

¿Qué queríamos con Abaddon?:

Abaddon tiene como objetivo facilitar las operaciones de red team al:

• Reducir el tiempo para construir una infraestructura
• Permitir acciones complejas con 1 o 2 clics
• Facilitar la generación de informes para operaciones largas
• Reducir el riesgo de "fallo OPSEC"

Las diapositivas que presentan Abaddon en RSAC2020 se pueden encontrar aquí: (Abaddon, el ángel del red team)

Lo que puedes desplegar

• Desplegado en menos de 30 minutos
• Desechable, autenticado, sigiloso
• Permite tanto phishing como ejecución remota de comandos

Otras características

• Reconocimiento: interfaz gráfica para NMAP, Recon-NG, HunterIO y Amass
• Weaponización: generación de cargas útiles ofuscadas en desarrollo
• Entrega: despliegue en uno o dos clics de instancias EC2, Gophish y de una infraestructura C&C totalmente funcional, sigilosa y dockerizada como se muestra arriba
• Explotación y Post-Explotación: ideas en desarrollo :)
• Informes: un tablero simple listo pero aún en desarrollo para seguir tus operaciones

Instalación y lanzamiento de Abaddon

Abaddon ha sido probado en Debian, LUbuntu y, por supuesto, KALI Linux (las últimas pruebas se realizaron en la versión 5.4.0 amd64). También necesitas tener acceso a Internet, y una dirección IP pública si quieres desplegar tu servidor C&C localmente.

Ten en cuenta que para configurar tu entorno AWS, la forma más sencilla probablemente sea instalar aws-cli como se indica aquí: https://docs.aws.amazon.com/fr_fr/cli/latest/userguide/install-cliv2-linux.html

curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip
sudo ./aws/install

1. Clona este repositorio y muévete dentro de la carpeta del repositorio

git clone [email protected]/wavestone-cdt/abaddon.git
cd abaddon

2. Crea los archivos ~/.aws/credentials y ~/.aws/config con tus credenciales y configuración de AWS, usando el siguiente comando:

aws configure

3. Mueve settings.py.sample a settings.py. Agrega y cambia la contraseña del usuario de la base de datos (Esta contraseña se solicitará durante el proceso de instalación)

mv abaddon/settings.py.sample abaddon/settings.py
sed -i 's/yourPasswordHere/<databasepassword>/g' abaddon/settings.py

4. Lanza el siguiente comando en la carpeta abaddon/setup:

bash setup/install.sh

Este script:

• Actualizará tu SO
• Instalará los paquetes requeridos por Django y Abaddon (incluyendo docker y docker-compose)
• Instalará todas las dependencias de Python (incluyendo Django 3.X)
• Creará una base de datos PostgreSQL y un usuario con el rol adecuado (la contraseña de la base de datos que debes proporcionar está dentro del archivo abaddon/settings.py, se recomienda cambiar la contraseña)
• Aplicará las migraciones de Django
• Creará un superusuario para la aplicación Django, que se utilizará para conectarse a la interfaz gráfica de Abaddon.

¡Inicia el Ángel del Red Team!

bash abaddon.sh

Abre un navegador y ve a la URL 127.0.0.1:8000 (conéctate con las credenciales del superusuario de Django creadas durante la instalación).

Despliegue de una infraestructura C&C dentro de Abaddon

7. Si no se ha desplegado ninguna instancia EC2 previamente desde Abaddon (es importante que despliegues la EC2 desde Abaddon, para que tengas acceso a la clave SSH, ubicada en la carpeta aws), ve a la página Delivery/Let’s phish!. Haz clic en Deploy EC2!. Espera a que termine el despliegue (puedes comprobar dentro del terminal usado para iniciar Abaddon si la EC2 está lista para usar, todos los pasos del despliegue aparecen en el shell).

8. Ve al archivo misc/apache/default-ssl.conf y ACTUALIZA el nombre de dominio de la EC2 dentro del segundo VirtualHost. Para evitar la detección de tu infraestructura, compra un nuevo nombre de dominio y configúralo para que apunte a tu EC2. Usa este nombre de dominio en el archivo de configuración de Apache y ACTUALIZA misc/apache/topsecret.key y misc/apache/topsecret.crt en consecuencia, que es con la clave privada y el certificado de tu nuevo dominio.

9. Luego ve a la página Monitor current Scenarios y haz clic en Configure a RedELK infrastructure. Dale un nombre a este escenario. Abaddon soporta actualmente solo un escenario a la vez. Elige una instancia EC2 desplegada desde tu Abaddon y elige Local Deployment (porque despliegas tu Apache docker localmente). Luego, elige los puertos utilizados por la EC2 desplegada para recibir las conexiones HTTP y SSL, y el puerto y la dirección IP a los que el proxy inverso Apache reenviará el tráfico (por ejemplo, la IP y el puerto donde escucha tu servidor SILENTTRINITY). Una configuración común sería la siguiente:

http port = 80 ssl port = 443 Listening Port= 9999 C2 IP adress = 172.16.0.1

Espera a que termine el despliegue y regresa a la página Monitor current Scenarios.

Cómo participar

No dudes en enviarnos Pull Requests, o enviarme preguntas (@Ibrahimous).

Convocatoria de contribuciones

Realmente nos gustaría ver a los pentesters y otros amantes de la seguridad ofensiva salir de su zona secreta, compartir ideas y contribuir a establecer un marco integral para las operaciones de red team.

Así que, si quieres mejorar la herramienta, por favor hazlo. Si quieres remodelarla radicalmente, por favor envía tus ideas.

Documentación, configuración y uso básico

La documentación está en proceso y estará disponible muy pronto en la Wiki.

Autor

Charles IBRAHIM (@Ibrahimous)

Agradecimientos, Contribuyentes y Contribuyentes Involuntarios

(Sin orden particular)

• Marcello Salvati (@byt3bl33d3r), por SILENTTRINITY. Boo-lang, dios mío.
• Arthur Villeneuve (@crypt0-M3lon), por sus magníficas ideas sobre docker, el protocolo proxy y más.
• Romain Melchiorre, por integrar muchas grandes ideas
• Timon Glasser, por parchear SILENTTRINITY, corregir errores, integrar ideas y hacer que todo funcione sin problemas durante compromisos reales.
• @sbnsec, por terraformar todas las cosas actualmente.
• Arnaud Soullié (@arnaudsoullie), porque supervisó la mayor parte del proyecto.