Sticky Keys Hunter

Este script bash de prueba de concepto (POC) verifica si existen backdoors de sticky keys y utilman. El script se conecta a un servidor RDP, envía tanto los disparadores de sticky keys como de utilman y captura la pantalla del resultado.

Este script fue escrito para probar una teoría que tenía sobre la detección de estos backdoors de forma a ciegas, y no se ha actualizado desde que escribí mi entrada de blog, Hunting Sticky Keys Backdoors. Sin embargo, @DennisMald y @notmedic continuaron esta investigación y lanzaron la herramienta Sticky Keys Slayer en su presentación de DEF CON 24, Sticky Keys To The Kingdom. Échale un vistazo a su herramienta, ya que tiene muchas mejoras respecto a este script POC.

¿Cómo funciona?

1. Se conecta a RDP usando rdesktop
2. Envía Shift 5 veces usando xdotool para activar backdoors de sethc.exe
3. Envía Windows+u usando xdotool para activar backdoors de utilman.exe
4. Toma una captura de pantalla
5. Cierra la conexión RDP

Prerrequisitos

1. Host Linux ejecutando un servidor X
2. Los siguientes paquetes: xdotool imagemagick rdesktop bc 3. Instalación en Debian/Ubuntu/Kali: apt-get install xdotool imagemagick rdesktop bc
3. La pantalla no debe estar bloqueada durante este proceso, de lo contrario todas las capturas aparecerán en negro

Uso

Escanear un solo host: ./stickyKeysHunter.sh 192.168.1.10

Escanear múltiples hosts: for i in $(cat list.txt); do ./stickyKeysHunter.sh "${i}"; done

Tareas pendientes

1. Analizar automáticamente las capturas de pantalla con OCR o procesamiento de imágenes para identificar backdoors.
2. Acelerar/multihilo la herramienta.