USP

Fonctionnalités

Ce programme Go établit une persistance sur un système Linux en créant une règle udev qui déclenche l'exécution d'un payload spécifié (binaire ou script). Il propose deux options de déclenchement :

• Persistance USB : Le payload est exécuté à chaque insertion d'un périphérique USB.
• Persistance au démarrage : Le payload est exécuté pendant le démarrage du système, en exploitant le périphérique /dev/random.

De plus, il fournit une option de nettoyage pour supprimer la persistance établie.

Utilisation

1. Compiler le script Go : go build -o usp

2. Exécuter le script avec les privilèges root (sudo) : sudo ./usp

Vous pouvez personnaliser le comportement à l'aide des options suivantes :

• -f <filename> : Spécifiez le chemin où le payload sera écrit (défaut : /usr/local/bin/persistence).
• -p <payload> : Spécifiez le chemin du fichier payload (binaire ou script) qui sera exécuté. Cette option est obligatoire.
• -r <rulesname> : Spécifiez le nom du fichier de règles udev (défaut : 75-persistence.rules).
• -usb : Active la persistance USB.
• -random : Active la persistance au démarrage en utilisant /dev/random.
• -c : Nettoie la persistance, en supprimant le fichier payload et la règle udev.

Exemple

• L'exemple suivant utilise la méthode de persistance USB pour exécuter example.sh à chaque connexion d'un périphérique USB.

sudo ./usp -p ./example.sh 

• L'exemple suivant utilise la méthode de persistance « random » pour exécuter my_backdoor_binary à chaque chargement de /dev/random (comme au démarrage). Il est installé dans /bin/ripgrep (se faisant passer pour le binaire ripgrep). De plus, le fichier de règles est créé dans /etc/udev/rules.d/123-notsektchy.rules

sudo ./usp -random  -f /bin/ripgrep -p my_backdoor_binary -r 123-notsketchy.rules

Références et lectures complémentaires

• https://www.aon.com/en/insights/cyber-labs/unveiling-sedexp
• https://ch4ik0.github.io/en/posts/leveraging-Linux-udev-for-persistence/
• https://opensource.com/article/18/11/udev