Abaddon

Les opérations d'équipe rouge impliquent des compétences variées, durent plusieurs mois et sont politiquement sensibles ; elles nécessitent beaucoup de suivi, de consolidation et de prudence. Le logiciel de gestion des opérations d'équipe rouge de Wavestone, Abaddon, a été conçu pour rendre les opérations d'équipe rouge plus rapides, plus reproductibles, plus furtives, tout en incluant des outils à valeur ajoutée et en offrant de nombreuses capacités de reporting.

Parce que :

• Il existe des tonnes d'outils utilisés par les équipes rouges
• ... mais aucun logiciel de gestion des opérations (gratuit et open source)
• ... et aucune agrégation entre ces outils non plus
• ... et les défaillances de « sécurité opérationnelle » sont courantes

Qu'avons-nous voulu avec Abaddon ? :

Abaddon vise à faciliter les opérations d'équipe rouge en :

• Réduisant le temps de construction d'une infrastructure
• Permettant des actions complexes en 1 ou 2 clics
• Facilitant le reporting pour les opérations longues
• Réduisant le risque de « défaillance OPSEC »

Les diapositives présentant Abaddon lors du RSAC2020 sont disponibles ici : (Abaddon, l'ange de l'équipe rouge)

Ce que vous pouvez déployer

• Déployé en moins de 30 minutes
• Jetable, authentifié, furtif
• Permet à la fois le phishing et l'exécution de commandes à distance

Autres fonctionnalités

• Reconnaissance : interface graphique pour NMAP, Recon-NG, HunterIO et Amass
• Weaponization : génération de charges utiles obfusquées en cours de développement
• Delivery : déploiement en un ou deux clics d'instances EC2, Gophish, et d'une infrastructure C&C entièrement fonctionnelle, furtive et dockerisée comme illustré ci-dessus
• Exploitation & Post-Exploitation : idées en cours de développement :)
• Reporting : un tableau de bord simple prêt mais encore en développement pour suivre vos opérations

Installation et lancement d'Abaddon

Abaddon a été testé sur Debian, LUbuntu, et bien sûr KALI Linux (les derniers tests ont été effectués sur la version 5.4.0 amd64). Vous devez également avoir accès à Internet, et une adresse IP publique si vous souhaitez déployer votre serveur C&C localement.

Notez que pour configurer votre environnement AWS, le moyen le plus simple est probablement d'installer aws-cli comme indiqué ici : https://docs.aws.amazon.com/fr_fr/cli/latest/userguide/install-cliv2-linux.html

curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip
sudo ./aws/install

1. Clonez ce dépôt et déplacez-vous dans le dossier du dépôt

git clone [email protected]/wavestone-cdt/abaddon.git
cd abaddon

2. Créez les fichiers ~/.aws/credentials et ~/.aws/config avec vos identifiants et configuration AWS, en utilisant la commande suivante :

aws configure

3. Déplacez settings.py.sample vers settings.py. Modifiez le mot de passe de l'utilisateur de la base de données (Ce mot de passe sera demandé lors de la configuration)

mv abaddon/settings.py.sample abaddon/settings.py
sed -i 's/yourPasswordHere/<databasepassword>/g' abaddon/settings.py

4. Lancez la commande suivante dans le dossier abaddon/setup :

bash setup/install.sh

Ce script va :

• Mettre à jour votre système d'exploitation
• Installer les paquets requis par Django et Abaddon (y compris docker et docker-compose)
• Installer toutes les dépendances Python (y compris Django 3.X)
• Créer une base de données PostgreSQL et un utilisateur avec le rôle approprié (le mot de passe de la base de données que vous devez fournir se trouve dans le fichier abaddon/settings.py, il est recommandé de changer le mot de passe)
• Appliquer les migrations Django
• Créer un superutilisateur pour l'application Django, qui sera utilisé pour se connecter à l'interface graphique d'Abaddon.

Lancez l'Ange de l'équipe rouge !

bash abaddon.sh

Ouvrez un navigateur et allez à l'URL 127.0.0.1:8000 (connectez-vous avec les identifiants du superutilisateur Django créés lors de l'installation).

Déploiement d'une infrastructure C&C dans Abaddon

7. Si aucune instance EC2 n'a été déployée auparavant depuis Abaddon (il est important que vous déployiez l'EC2 depuis Abaddon, afin d'avoir accès à la clé SSH, située dans le dossier aws), allez sur la page Delivery/Let’s phish!. Cliquez sur Deploy EC2!. Attendez la fin du déploiement (vous pouvez vérifier dans le terminal utilisé pour lancer Abaddon si l'EC2 est prête à être utilisée, toutes les étapes de déploiement apparaissent dans le shell).

8. Allez dans le fichier misc/apache/default-ssl.conf et METTEZ À JOUR le nom de domaine de l'EC2 dans le second VirtualHost. Pour éviter la détection de votre infrastructure, achetez un nouveau nom de domaine et configurez-le pour pointer vers votre EC2. Utilisez ce nom de domaine dans le fichier de configuration Apache et METTEZ À JOUR misc/apache/topsecret.key et misc/apache/topsecret.crt en conséquence, c'est-à-dire avec la clé privée et le certificat de votre nouveau domaine.

9. Allez ensuite sur la page Monitor current Scenarios et cliquez sur Configure a RedELK infrastructure. Donnez un nom à ce scénario. Abaddon ne supporte actuellement qu'un seul scénario à la fois. Choisissez une instance EC2 déployée depuis votre Abaddon et sélectionnez Local Deployment (car vous déployez votre Apache docker localement). Ensuite, choisissez les ports utilisés par l'EC2 déployée pour recevoir les connexions HTTP et SSL, ainsi que le port et l'adresse IP vers lesquels le proxy inverse Apache redirigera le trafic (par exemple, l'IP et le port sur lesquels votre serveur SILENTTRINITY écoute). Une configuration courante serait la suivante :

http port = 80 ssl port = 443 Listening Port= 9999 C2 IP adress = 172.16.0.1

Attendez la fin du déploiement et revenez à la page Monitor current Scenarios.

Contribution

N'hésitez pas à nous envoyer des Pull Requests, ou à me poser des questions (@Ibrahimous).

Appel aux contributions

Nous aimerions vraiment voir les pentesters et autres passionnés de sécurité offensive sortir de leur zone secrète, partager des idées et contribuer à l'établissement d'un cadre complet pour les opérations d'équipe rouge.

Donc, si vous souhaitez améliorer l'outil, faites-le. Si vous voulez le remodeler radicalement, soumettez vos idées.

Documentation, configuration et utilisation de base

La documentation est en cours de rédaction et sera très bientôt disponible dans le Wiki.

Auteur

Charles IBRAHIM (@Ibrahimous)

Remerciements, contributeurs et contributeurs involontaires

(Dans aucun ordre particulier)

• Marcello Salvati (@byt3bl33d3r), pour SILENTTRINITY. Boo-lang, omg.
• Arthur Villeneuve (@crypt0-M3lon), pour ses idées géniales sur docker, le protocole proxy, et plus.
• Romain Melchiorre, pour avoir intégré beaucoup de bonnes idées
• Timon Glasser, pour avoir patché SILENTTRINITY, corrigé des bugs, intégré des idées, et fait en sorte que tout fonctionne parfaitement lors des engagements réels !
• @sbnsec, pour être en train de terraformer toutes les choses !
• Arnaud Soullié (@arnaudsoullie), parce qu'il a supervisé la majeure partie du projet !