FakeImageExploiter

CodeName: Metamorphosis
Version publiée : v1.4 (Stable)
Auteur : pedro ubuntu [ r00t-3xp10it ]
Distributions supportées : Linux Ubuntu, Kali, Mint, Parrot OS
Suspicious-Shell-Activity (SSA) RedTeam develop @2017

L'auteur n'assume aucune responsabilité en cas d'utilisation abusive de cet outil,
rappelez-vous que cibler des cibles sans consentement préalable est illégal et puni par la loi.

Ce module prend une image.jpg existante et un payload.ps1 (fournis par l'utilisateur) et
construit un nouveau payload (agent.jpg.exe) qui, s'il est exécuté, déclenchera le téléchargement
des 2 fichiers précédents stockés dans apache2 (image.jpg + payload.ps1) et les exécutera.

Ce module change également l'icône de l'agent.exe pour correspondre à un fichier.jpg, puis utilise
la méthode de spoof 'Masquer les extensions pour les types de fichiers connus' pour cacher
l'extension de l'agent.exe.

Tous les payloads (fournis par l'utilisateur) seront téléchargés depuis notre serveur web apache2
et exécutés dans la RAM de la cible. La seule extension (payload fourni par l'utilisateur)
qui nécessite d'écrire le payload sur le disque sont les binaires .exe.

FakeImageExploiter stocke tous les fichiers dans la racine web d'apache2, compresse (.zip) l'agent,
démarre apache2 et les services metasploit (handler), et fournit une URL à envoyer à la cible
(déclenche le téléchargement de agent.zip). Dès que la victime exécute notre exécutable,
notre image sera téléchargée et ouverte dans la visionneuse d'images par défaut, notre
payload malveillant sera exécuté, et nous obtiendrons une session meterpreter.

Mais il stocke aussi l'agent (non compressé) dans le dossier FakeImageExploiter/output
si nous souhaitons livrer agent.jpg.exe via un vecteur d'attaque différent.

'Cet outil construit également un fichier cleaner.rc pour supprimer les payloads laissés sur la cible'

payload.ps1 (par défaut) | payload.bat | payload.txt | payload.exe [Metasploit]
"Modifier le fichier 'settings' avant d'exécuter l'outil pour utiliser d'autres extensions"

Toutes les images avec les extensions .jpg (par défaut) | .jpeg | .png (toutes tailles)
"Modifier le fichier 'settings' avant d'exécuter l'outil pour utiliser d'autres extensions"

xterm, zenity, apache2, mingw32[64], ResourceHacker(wine)
'Installe automatiquement ResourceHacker.exe sous le dossier ../.wine/Program Files/..'

ATTENTION : Pour changer d'icône manuellement (contournement de resource hacker), modifier le fichier 'settings'.
ATTENTION : Uniquement sous Windows, la 2e extension sera masquée (donc compressez-la)
ATTENTION : L'agent.jpg.exe nécessite que les fichiers fournis soient dans apache2 (piratage en LAN local)
ATTENTION : L'agent.jpg.exe utilise l'interpréteur powershell (ne fonctionne pas contre wine).
ATTENTION : Cet outil n'accepte pas les arguments de payloads (fournis par l'utilisateur) (ex. nc.exe -lvp 127.0.0.1 555)
ATTENTION : Le ResourceHacker fourni par cet outil nécessite que WINE soit configuré en Windows 7

Si vous souhaitez utiliser votre propre binaire (fourni par l'utilisateur - pas de payloads metasploit), alors :

Contourne la nécessité de fournir votre payload.ps1, et laisse FakeImageExploiter
se charger de construire le payload.ps1 + agent.jpg.exe nécessaires et configurer le handler.
"Avec cette fonction activée, vous n'avez besoin que de fournir votre image.jpg :D"

Si vous recevez ce message, cela signifie que vous exécutez FakeImageExploiter
en tant que sudo et que votre installation de wine appartient à un utilisateur (elle ne vous appartient pas). Pour
contourner ce problème, exécutez FakeImageExploiter en tant que propriétaire de wine.
EXEMPLE : Si wine appartient à spirited_wolf, exécutez l'outil sans sudo
EXEMPLE : Si wine appartient à root, exécutez l'outil en sudo

1º - Télécharger le framework depuis github
     git clone https://github.com/r00t-3xp10it/FakeImageExploiter.git

2º - Définir les permissions d'exécution des fichiers
     cd FakeImageExploiter
     sudo chmod +x *.sh

3º - Configurer les paramètres de FakeImageExploiter
     nano settings

4º - Exécuter l'outil principal
     sudo ./FakeImageExploiter.sh