RedPeanut एक छोटा RAT है जो .Net Core 2 में विकसित किया गया है और इसका एजेंट .Net 3.5 / 4.0 में है।
__________________________________________________________________________
ooooooo________________oo_ooooooo___________________________________oo____
oo____oo___ooooo___oooooo_oo____oo__ooooo___ooooo__oo_ooo__oo____o__oo____
oo____oo__oo____o_oo___oo_oo____oo_oo____o_oo___oo_ooo___o_oo____o_oooo___
ooooooo___ooooooo_oo___oo_oooooo___ooooooo_oo___oo_oo____o_oo____o__oo____
oo____oo__oo______oo___oo_oo_______oo______oo___oo_oo____o_ooo___o__oo__o_
oo_____oo__ooooo___oooooo_oo________ooooo___oooo_o_oo____o_oo_ooo____ooo__
__________________________________________________________________________
________________________________________________RedPeanut_v0.3.0___@b4rtik
__________________________________________________________________________
वर्तमान में परीक्षण किया जा रहा है।
ज्ञात मॉड्यूल समस्याएँ:
process -> spawnasagent
process -> spawnasshellcode
RedPeanut एक छोटा RAT है जो .Net Core 2 में विकसित किया गया है और इसका एजेंट .Net 3.5 / 4.0 में है। RedPeanut कोड निष्पादन DonutCS के साथ उत्पन्न शेलकोड पर आधारित है। इसलिए यह एक हाइब्रिड है, हालाँकि .Net में विकसित है, यह पूरी तरह से Assembly.Load पर निर्भर नहीं करता है। इससे डिटेक्शन सतह बढ़ जाती है, लेकिन यह हमें डॉटनेट वातावरण, प्रक्रिया प्रबंधन और इंजेक्शन से संबंधित विभिन्न चोरी तकनीकों का अभ्यास और प्रयोग करने की अनुमति देता है। इस व्यवहार को "managed" और "unmanaged" कमांड के साथ रनटाइम पर बदला जा सकता है। यदि आप एक सुसंगत .Net C2 फ्रेमवर्क में रुचि रखते हैं जिसका उपयोग अभियान में किया जा सकता है, तो मैं Covenant का सुझाव देता हूँ।
RedPeanut को निम्नलिखित के साथ हथियारबंद किया गया है:
RedPeanut एजेंट को .Net 3.5 और 4.0 में संकलित किया जा सकता है और NamedPipe के माध्यम से पिवोटिंग क्षमताएँ रखता है। एजेंट, जब अनमैनेज्ड मोड में निष्पादित होता है, तो अपने महत्वपूर्ण कार्यों को एक अलग प्रक्रिया में करता है ताकि AV प्रतिक्रिया या निष्पादन के दौरान त्रुटि के कारण पूरा एजेंट खोने से बचा जा सके।
निष्पादन प्रवाह इस प्रकार है:
एजेंट वर्तमान में केवल https चैनल का समर्थन करता है।
एजेंट चेक-इन प्रोटोकॉल बहुत सरल है:
वैकल्पिक रूप से, कवर चैनल सुविधा को सक्रिय किया जा सकता है (फिलहाल यह केवल एक PoC है)। विचार एक वास्तविक उपयोगकर्ता द्वारा किए गए वेब ट्रैफ़िक का अनुकरण करना है। आमतौर पर एक वेब पेज HTML पेज और उसके प्रदर्शन के लिए आवश्यक सभी ऑब्जेक्ट जैसे css, चित्र आदि से बना होता है। नए कार्य के अनुरोध पर सर्वर से प्रतिक्रिया सीधे एन्क्रिप्टेड कार्य नहीं होगी, बल्कि एक HTML पेज होगा जिसमें से उस इमेज के लिंक को निकाला जाएगा जिसमें एन्क्रिप्टेड कार्य एम्बेडेड होगा। इमेज के लिए HTTP अनुरोध में Referer हेडर होगा।
सामग्री वितरण 4 चैनलों में व्यवस्थित है:
RedPeanut सर्वर और क्लाइंट दोनों पक्षों पर नेटवर्क फुटप्रिंट को अनुकूलित करने की क्षमता रखता है। सेट किए जा सकने वाले गुण हैं:
डोमेन फ्रंटिंग
डोमेन फ्रंटिंग समर्थन सक्षम करने के लिए क्लाइंट अनुभाग में "Host" हेडर को मान देना आवश्यक है, दोनों पोस्ट और गेट के लिए (डिफ़ॉल्ट प्रोफ़ाइल 2 में उदाहरण दिया गया है)।
PowerShellExecuter मॉड्यूल आपको एक रनस्पेस में AMSI बायपास, लॉगिंग बायपास और PowerView पहले से लोड के साथ ऑनलाइनर कमांड या फ़ाइलों को निष्पादित करने की अनुमति देता है।
संस्करण 0.3.0 से शुरू, RedPeanutAgent blockdlls कमांड का समर्थन करता है। इस विकल्प के साथ, अनमैनेज्ड मोड में कार्य करने के लिए बनाई गई चाइल्ड प्रक्रियाएँ PROCESS_CREATION_MITIGATION_POLICY_BLOCK_NON_MICROSOFT_BINARIES_ALWAYS_ON विशेषता के साथ बनाई जाती हैं। यह विशेषता प्रक्रिया को उन dlls को लोड करने से रोकती है जो Microsoft द्वारा हस्ताक्षरित नहीं हैं, यह हमारे कार्यों को AV और EDR हुकिंग तकनीकों से बचा सकता है।
RedPeanutAgent संदिग्ध Dll Imports से बचने के लिए डायनेमिक Dll लोडिंग का उपयोग करता है। डायनेमिक Dll लोडिंग का श्रेय @TheRealWover, @cobbr_io और @FuzzySec को जाता है, जिन्होंने SharpSploit में काम किया।
कुछ AV और EDR विक्रेता गतिविधियों पर नज़र रखने के लिए हुकिंग तकनीक का उपयोग करते हैं। हुक किए गए syscall का उपयोग करने से बचने के लिए RedPeanutAgent डायरेक्ट syscall का उपयोग करता है, आवश्यक कोड को ऑटो-इंजेक्ट करता है। डायरेक्ट Syscall का श्रेय @Cneelis को जाता है।
RedPeanut को चलाने के लिए आपके पास dotnet स्थापित होना चाहिए। Kali पर dotnet स्थापित करने के लिए:
wget -qO- https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor > microsoft.asc.gpg
mv microsoft.asc.gpg /etc/apt/trusted.gpg.d/
wget -q https://packages.microsoft.com/config/debian/9/prod.list
mv prod.list /etc/apt/sources.list.d/microsoft-prod.list
chown root:root /etc/apt/trusted.gpg.d/microsoft.asc.gpg
chown root:root /etc/apt/sources.list.d/microsoft-prod.list
apt-get install apt-transport-https
apt-get update
apt-get install dotnet-sdk-2.1
git clone --recursive https://github.com/b4rtik/RedPeanut.git