GitBackdorizer (BÊTA)

GitBackdorizer est une preuve de concept, entièrement inspirée de la conférence 50 ton of backdoors d'Ulisses Castro, qui abuse du manque d'attention des utilisateurs pour voler les identifiants d'accès Git.

Fonctionnement

GitBackdorizer se compose de trois éléments : le gestionnaire, le dropper et la charge utile.

Gestionnaire

Le gestionnaire met en place un serveur HTTP pour capturer les identifiants et propose un menu pour configurer la charge utile du dropper. La livraison du dropper est de la responsabilité de l'attaquant.

Dropper

Le dropper est conçu pour avoir la plus haute compatibilité possible, en évitant toute fonctionnalité non spécifique à sh. Il fonctionne ainsi :

• Identifier si le hook Git backdoorisé est le hook pre-push ou un autre
• Déposer la charge utile backdoor dans le hook spécifique
• Donner la permission d'exécution

Charges utiles

Les charges utiles sont également conçues pour avoir la plus haute compatibilité possible en évitant les fonctionnalités non sh. Il existe actuellement deux types de charges utiles : la charge générique et la charge spécifique au pre-push.

La charge générique tente d'identifier le type de dépôt distant (HTTPS/SSH) en :

• Vérifiant la branche courante : git branch --contains HEAD
• Récupérant le nom distant de la branche (via git config)
• Récupérant l'URL distante du nom distant (via git config) Ensuite, elle vérifie si l'URL est https ou ssh.

La charge pre-push vérifiera directement les informations Git fournies pour l'URL (second paramètre du hook pour pre-push).

Démo

Comment utiliser gitbackdorizer pour exploiter la confiance des utilisateurs et voler leurs identifiants :

GitBackdorizer - vol d'identifiants

Remerciements

• Ulisses Castro - 50 ton of backdoors (https://www.slideshare.net/ulissescastro/50-ton-of-backdoors)
• Giovani Silva - A écrit le script d'infection Shell