jackofmosttrades/blueboxBoîte à outils d'exploitation automatisée pour CVE-2015-6095 et CVE-2016-0049
Remarque ; ce dépôt fait référence à des dépôts externes (appelés sous-modules Git). Après avoir cloné ce dépôt, veillez à exécuter les commandes suivantes pour cloner ces sous-modules :
git submodule init
git submodule update
BlueBox est un ensemble de scripts et de configurations pour l'exploitation automatisée de MS15-122 et MS16-014 (voir aussi CVE-2015-6095 et CVE-2016-0049).
Des informations complémentaires sur cette vulnérabilité sont disponibles dans la présentation et le livre blanc de BlackHat EU 2015 réalisés sur ce sujet, ou la présentation mise à jour présentée à BSides Seattle 2015.
Cet exploit permet à un attaquant de contourner l'écran de connexion des machines Windows utilisant l'authentification de domaine. Il peut être utilisé pour lire les données d'un utilisateur, contourner les protections de chiffrement de disque complet, attaquer rapidement des machines sans surveillance afin d'installer un toolkit d'accès distant ou tout autre malware, et peut être utilisé pour réaliser l'une ou l'autre des actions ci-dessus sans mettre la machine hors ligne.
Pour une démonstration rapide, j'ai enregistré les vidéos suivantes :
BlueBox: Attaque opportuniste sur ordinateur portable
BlueBox: Attaque opportuniste sur ordinateur portable
BlueBox: Attaque sans interruption de service
Ce dépôt inclut quelques scripts d'initialisation et fichiers de configuration pour le déploiement de ces scripts sur un système basé sur Debian (la démonstration susmentionnée fonctionne sur Raspbian, une distribution Debian pour le Raspberry Pi). Cependant, il n'est pas nécessaire d'exécuter ces outils sur cette plateforme ; vous pouvez tout aussi bien configurer un ordinateur portable classique et un système d'exploitation arbitraire pour exécuter ces scripts Python et un serveur DHCP.
Les scripts dans le sous-répertoire init-scripts peuvent être utilisés pour démarrer les serveurs malveillants au démarrage ; c'est particulièrement utile lors de l'utilisation d'un appareil dédié sans tête (comme le Raspberry Pi). Vous pouvez placer ces scripts dans /etc/init.d et exécuter
update-rc.d evil-server-{dns,kdc,ldap,netbios} defaults
Ce dépôt contient des configurations pour deux styles de déploiement ; comme un simple outil de contournement d'écran de verrouillage, ou comme un outil d'attaque sans interruption de service. Une description plus détaillée et des instructions de configuration sont fournies ci-dessous.
L'utilisation prévue de cette configuration serait d'obtenir de manière opportuniste un accès à un poste de travail client, par exemple un ordinateur portable sans surveillance. Le déploiement nécessite un serveur DHCP indépendant ; un exemple de fichier de configuration pour le serveur ISC DHCP est disponible. Plusieurs des serveurs malveillants sont codés en dur pour se référer à la machine courante à l'adresse IP 192.168.0.1, donc un exemple de configuration réseau est inclus qui donne à eth0 cette adresse IP statique.
Bien que ce ne soit pas nécessaire, vous pouvez également choisir d'installer un serveur FTP/HTTP sur la machine hôte afin de fournir une charge utile malveillante qui peut être exécutée par l'attaquant sur la machine victime.
Cette configuration nécessite deux périphériques Ethernet physiques et permet au dispositif d'attaque de fonctionner en tant qu'intermédiaire (man-in-the-middle). Cette configuration crée un pont entre les deux périphériques Ethernet pour permettre au trafic de passer inchangé, rendant le dispositif transparent sur le réseau. Cependant, sa configuration netfilter redirigera le trafic Kerberos vers le localhost (c'est-à-dire vers le serveur malveillant), ce qui permet à un attaquant de contourner l'écran de connexion d'un serveur en direct.
Pour déployer cette configuration, vos périphériques Ethernet doivent être configurés pour être pontés. La configuration nécessite l'utilisation de netfilter sur l'interface de pont, vous devez donc ajouter le module br_netfilter dans /etc/modules. Pour configurer ebtables et iptables afin de détourner le trafic Kerberos, vous devez placer la configuration ebtables dans le répertoire /etc/network/if-up.d/, le script iptables dans le répertoire /etc/network/if-pre-up.d/, et le fichier iptables.up.rules dans /etc.
Cette configuration détourne également le trafic HTTP destiné à 10.254.254.254 et le redirige vers un serveur local, ce qui peut être utilisé comme un moyen pratique de télécharger une charge utile malveillante vers la machine victime. Si vous faites cela, la machine devrait également avoir un serveur web (par exemple apache2) installé.