RemoteRecon

Reconocimiento remoto y recolección

RemoteRecon proporciona la capacidad de ejecutar capacidades de post-explotación contra un host remoto, sin tener que exponer tu conjunto completo de herramientas/agente. A menudo, como operadores, necesitamos comprometer un host solo para poder hacer keylog o captura de pantalla (o alguna otra tarea minúscula) contra una persona/host de interés. ¿Por qué deberías tener que enviar beacon, empire, innuendo, meterpreter o un RAT personalizado al objetivo? Esto aumenta la huella que tienes en el entorno objetivo, expone funcionalidad en tu agente y, muy probablemente, tu infraestructura C2. Una alternativa sería implementar un agente secundario en objetivos de interés y recopilar inteligencia. Luego almacenar estos datos para su recuperación a tu discreción. Si estos endpoints comprometidos son descubiertos por equipos de IR, pierdes esos endpoints y la información que has recopilado, pero nada más. A continuación se muestra una representación visual de cómo imagino que un adversario utilizaría esto.

RemoteRecon utiliza el registro para el almacenamiento de datos, con WMI como canal C2 interno. Todos los comandos se ejecutan de manera asíncrona, de tipo push and pull. Esto significa que enviarás comandos a través del controlador de PowerShell y luego recuperarás los resultados de ese comando a través del registro. Todos los resultados se mostrarán en la consola local.

Capacidades actuales

PowerShell

Captura de pantalla

Suplantación de tokens

Inyectar ReflectiveDll (Debe exportar la función ReflectiveLoader de Stephen Fewer)

Inyectar shellcode

Keylog

Mejoras, adiciones, tareas pendientes:

Cargar y ejecutar dinámicamente ensamblados .NET

Soporte para dlls no reflectivas para inyección

Dependencias de compilación