इस परियोजना के बारे में

यह परियोजना Technische Hochschule Deggendorf में डिजिटल फॉरेंसिक पाठ्यक्रम के भाग के रूप में विकसित की गई थी।

यह निम्नलिखित से जुड़ी एक पूर्ण फोरेंसिक जांच और हमले का अनुकरण प्रदर्शित करता है:

• एक दुर्भावनापूर्ण PyPI पैकेज का उपयोग करके Python निर्भरता भ्रम हमला

• sudo के एक संवेदनशील संस्करण (CVE-2025-32463) के माध्यम से विशेषाधिकार वृद्धि

• Sliver C2 बीकन की तैनाती

• कर्नेल मॉड्यूल लोडिंग, syscall हुकिंग और udev-आधारित दृढ़ता के साथ एक कस्टम रूटकिट

• Volatility, NetworkMiner और मैनुअल रिवर्सिंग जैसे टूल का उपयोग करके मेमोरी और नेटवर्क आर्टिफैक्ट का पूर्ण विश्लेषण

रिपॉजिटरी में स्क्रिप्ट, सेटअप निर्देश, आर्टिफैक्ट और हमले और फोरेंसिक जांच दोनों को दोहराने के लिए विस्तृत विश्लेषण चरण शामिल हैं।

तालिका

• विशेषाधिकार वृद्धि
• हमला श्रृंखला
• आर्टिफैक्ट निर्माण
  • मेमोरी डंप बनाएं
  • Ubuntu पर नेटवर्क डंप तैयार करें
• डेवलपर Ubuntu क्लाइंट सेटअप करें (shell)
  • 1. रिपॉजिटरी क्लोन करें और निष्पादित करें
  • 2. एक बार VM चालू होने पर, SSH से लॉगिन करें
  • 3. संवेदनशील sudo और Python venv स्थापित करें
  • 4. userland लोडर बाइनरी (shell) बनाएं
  • 5. shell को Kali पर भेजें ताकि बाद में वहाँ से सेवा की जा सके।
• Kali सेटअप करें (192.168.56.101)
  • 1. Sliver सर्वर शुरू करें
  • 2. एक HTTP बीकन जनरेट करें
  • 3. बीकन का नाम बदलें और सेवा करें
  • 4. लिसनर शुरू करें
• डेवलपर का अनुकरण करें
  • 1. PoC क्लोन करें
  • 2. Python venv बनाएं और सक्रिय करें
  • 3. निर्भरताएँ स्थापित करें
  • 4. दुर्भावनापूर्ण पैकेज चलाएं
• हमलावर का अनुकरण करें
  • 1. बीकन की प्रतीक्षा करें और sudo संस्करण का निरीक्षण करें
  • 2. एक्सप्लॉइट और लोडर अपलोड करें
  • 3. Sudo एक्सप्लॉइट निष्पादित करें
  • 4. कर्नेल मॉड्यूल लोड करें
  • 5. udev नियम सेट करना
  • 6. रीबूट करें
  • 7. रीबूट पर शेल पकड़ें
• विश्लेषण
  • एकत्रित आर्टिफैक्ट का अवलोकन
  • नेटवर्क माइनर के साथ त्वरित नेटवर्क अवलोकन
  • विस्तृत ट्रैफिक विश्लेषण
    • GitHub डाउनलोड
    • PyPI डाउनलोड
    • दुर्भावनापूर्ण “lilux” बाइनरी प्राप्ति
  • डाउनलोड के बाद का व्यवहार
    • Sliver बीकनिंग
    • अनएन्क्रिप्टेड रिवर्स शेल
  • सारांश
    • मुख्य निष्कर्ष
    • फोरेंसिक निहितार्थ
• मेमोरी विश्लेषण
  • वातावरण और सेटअप
  • मेमोरी डंप अधिग्रहण
  • डीबग प्रतीक स्थापित करें
  • वोलैटिलिटी प्रतीक फ़ाइल जनरेट करें
  • प्रतीकों के साथ वोलैटिलिटी चलाएं
  • (वैकल्पिक) fzf के साथ तेज़ खोज
  • दिलचस्प फ़ाइलें ढूंढना
  • लोड किए गए मॉड्यूल
  • Udev नियम
  • shell निकालना
• shell binary का रिवर्सिंग
  • load_module शाखा
  • rsh शाखा
    • daemonize फंक्शन
    • रिवर्स शेल
  • व्यवहार का सारांश
    • व्यवहारिक सारांश
• कर्नेल मॉड्यूल का रिवर्सिंग
  • कर्नेल मॉड्यूल निकालने के लिए Python स्क्रिप्ट
    • 1. रेंज बनाएं
    • 2. लक्ष्य पते की तुलना करें
    • 3. मिलान मिलने तक जारी रखें
  • rkit_init
  • हुक किए गए फंक्शन
    • Kill हुक
    • Getdents(64) हुक
  • मॉड्यूल छिपाना
  • डीबग संदेश
  • रिवर्स शेल लोडर
  • rkit_exit
• चेकसम
• उपयोग किए गए टूल और संस्करण

विशेषाधिकार वृद्धि

CVE-2025-32463
NVD विवरण
POC Github

[!NOTE]
आपको एक संवेदनशील Sudo संस्करण स्थापित करना होगा (chroot समर्थन के साथ—privesc/setup.sh देखें)

हमला श्रृंखला```mermaid

sequenceDiagram autonumber participant Attacker participant PyPI participant IntDep as Internal Dep Server participant Dev as Developer participant C2 as C2 Server

Attacker->>PyPI: Publish package with version v1.0.3
Dev->>IntDep: pip install
IntDep-->>Dev: Returns v1.0.1
Dev->>PyPI: Fallback pip install package==v1.0.3
PyPI-->>Dev: Returns malicious v1.0.3 (stager)
Dev->>Dev: Executes stager (package_evil)
Dev->>C2: Beacon/Sliver implant calls home
Note right of C2: Attacker now has RCE

Attacker->>Dev: Enumerates sudo version (1.9.16p2)
Attacker->>Dev: Runs CVE-2025-32463 exploit
Note right of Dev: PE to root

Dev->>Dev: Downloads & runs rootkit loader binary
Dev->>Dev: Loader installs kernel module & configures udev rule
Dev->>Dev: Schedules reboot
Note right of Dev: Attacker established persistence 

Dev->>Dev: System reboots
Dev->>Dev: Udev loads kernel module on boot
Dev->>C2: Kernel-stage beacon calls C2

# आर्टिफैक्ट जनरेशन

सभी आर्टिफैक्ट मैन्युअल रूप से उत्पन्न किए जाते हैं। आप दो मशीनों का उपयोग करेंगे:
- **अटैकर मशीन** (Kali Linux)
- **डेवलपर मशीन** (Ubuntu)

हम तीन आर्टिफैक्ट तैयार करेंगे:
- **PCAP** (रीबूट से पहले)
- **मेमोरी डंप** (रीबूट के बाद)

## मेमोरी डंप बनाएं
[VirtualBox मेमोरी कैसे डंप करें](https://www.ired.team/miscellaneous-reversing-forensics/dump-virtual-box-memory)


होस्ट सिस्टम पर:```shell
vboxmanage list vms
"linux-root-kit_default_1752261916398_20346" {c2d4b5bc-d87f-4dcb-af01-85b78c163fef}
virtualboxvm --startvm "linux-root-kit_default_1752261916398_20346" --dbg

इंटरफ़ेस पर जाएं --> Debug डीबग कंसोल (VMMR0> प्रॉम्प्ट) में:```shell .pgmphystofile 'dumpmem_linux_root_kit'

## उबंटू पर नेटवर्क डंप तैयार करें
डेवलपर का अनुकरण करने से पहले प्रारंभ करें। `! port 22` वैग्रांट ssh कनेक्शन को लॉग न करने के लिए उपयोगी है।```shell
sudo tcpdump -w output.pcap ! port 22

डेवलपर उबंटू क्लाइंट सेटअप करें (shell)

1. रिपॉजिटरी क्लोन करें और निष्पादित करें: ```shell

vagrant up

इसमें कुछ समय लग सकता है --> एक पूरी VM डाउनलोड होती है जो Bento के साथ बनाई गई थी। 

## 2. एक बार VM चालू हो जाने पर, SSH से लॉगिन करें:  ```shell
vagrant ssh

3. असुरक्षित sudo और Python venv स्थापित करें: ```shell

sudo bash /vagrant/privesc/setup.sh sudo apt install python3.12-venv

## 4. उपयोगकर्ता लैंड लोडर बाइनरी (shell) बनाएँ:

आप `make` फ़ाइल को चलाकर userland बाइनरी `shell` बना सकते हैं। यह सबसे आसान तरीका है - अन्यथा आपको पहले सही हेडर्स इंस्टॉल करने की आवश्यकता होगी :P.

## 5. `shell` को Kali पर भेजें ताकि बाद में वहाँ से serve किया जा सके।


# Kali सेटअप (192.168.56.101)