Five Nights at Follina's

Fullstack Academy का एक साइबर सुरक्षा प्रोजेक्ट जो फोलिना (CVE-2022-30190) भेद्यता के पूरे चक्र की जाँच करता है, शोषण से लेकर पता लगाने और बचाव तक।

टीम:

• Brian Aldrich
• YoungWa Kim
• Jay O'Neill
• (Binyang) Jeffrey Xu

यह टूलसेट मानता है कि आपके पास एक वेब होस्ट है या आप जनरेट किए गए या उदाहरण पेलोड फ़ाइलों को होस्ट करने के लिए Python का उपयोग करके एक सरल वेबसर्वर चालू कर सकते हैं।

अस्वीकरण

Example Payloads फ़ोल्डर में मौजूद फ़ाइलों में वास्तविक दुर्भावनापूर्ण कोड है। इनका उपयोग स्थानीय नेटवर्क पर VM के साथ किया गया था और एक सुरक्षित नेटवर्क पर जहाँ आप सभी मशीनों पर भरोसा करते हैं, इनसे कोई समस्या नहीं होनी चाहिए, लेकिन कृपया इन फ़ाइलों का उपयोग या संशोधन करते समय सावधानी बरतें। इसके अतिरिक्त, दस्तावेज़ और पेलोड जनरेटर स्पष्ट रूप से अपनी स्वयं की दुर्भावनापूर्ण फ़ाइलें बनाते हैं। कृपया इन उपकरणों का उपयोग केवल VM या अन्य डिस्पोजेबल वातावरण में करें! यहाँ किसी भी उपकरण का उपयोग न करें जिसे आप समझते नहीं हैं।

आक्रामक उपकरण

फोलिना शोषण के साथ Microsoft Word दस्तावेज़ बनाने के लिए, docgen_v3.py चलाएँ, निम्नलिखित विकल्पों का उपयोग करते हुए

• --extention/-e : दस्तावेज़ आउटपुट को .doc (डिफ़ॉल्ट) से rtf में बदलें, जो एक ज़ीरो-क्लिक हमले के लिए है। -e rtf
• --ip_address/-ip : उस IP पते को बदलें जिससे दस्तावेज़ संपर्क करने का प्रयास करेगा (डिफ़ॉल्ट 10.0.2.15 है)।
• --port/-p : उस पोर्ट को बदलता है जिससे यह संपर्क करने का प्रयास करेगा (डिफ़ॉल्ट 8000 है)।

पेलोड html फ़ाइल बनाने के लिए, generate_payload.py का उपयोग poc उपकमांड के साथ करें, जो Windows कैलकुलेटर खोलने वाला एक प्रूफ-ऑफ-कॉन्सेप्ट पेलोड जनरेट करता है, या custom उपकमांड के साथ अपनी खुद की स्क्रिप्ट वाला पेलोड जनरेट करने के लिए।

उदाहरण:

• python generate_payload.py poc -o test.html test.html में कैलकुलेटर पेलोड जनरेट करेगा
• python generate_payload.py custom -o test.html -p "search-ms:query=procmon.exe&crumb=location:%5C%5Clive.sysinternals.com%5Ctools&displayname=IMPORTANT%20UPDATE" SearchNightmare शोषण के साथ test.html को एक कस्टम पेलोड के रूप में जनरेट करेगा

उदाहरण पेलोड "Example Payloads" फ़ोल्डर में पाए जा सकते हैं।

रक्षात्मक उपकरण

फोलिना का पता लगाने के लिए Sysmon को इवेंट्स लॉग करने के लिए स्थापित होना आवश्यक है। हमारी यहाँ की पहचान विधियाँ उन उदाहरणों को खोजने पर निर्भर करती हैं जहाँ Microsoft Word MSDT.exe को कॉल करता है, लेकिन स्क्रिप्ट्स को अन्य आर्टिफैक्ट्स, जैसे फोलिना द्वारा अपने Powershell कमांड में उपयोग किए गए तर्क, को खोजने के लिए संशोधित किया जा सकता है। निम्नलिखित उपकरण उपलब्ध हैं:

• Sysmon Search फ़ोल्डर में Python स्क्रिप्ट्स एक उपयोगकर्ता को फोलिना द्वारा समझौते के संभावित संकेतकों के लिए अपने Sysmon लॉग खोजने और फिर उन लॉग्स को पुष्टि के लिए मैन्युअल रूप से जाँचने की अनुमति देती हैं।
• msdt_exp-del-v3.ps1 Powershell स्क्रिप्ट एक समान खोज करती है और, यदि यह फोलिना के संकेतों का पता लगाती है, तो MSDT रजिस्ट्री कुंजी का बैकअप बनाती है और कुंजी को हटाकर MSDT को अक्षम कर देती है।

उदाहरण पेलोड का उपयोग करना

सभी उदाहरण docx और rtf फ़ाइलें html फ़ाइलें IP पते 10.0.2.15 पर होस्ट किए गए पेलोड्स की ओर इंगित की गई हैं। इसके अतिरिक्त, यदि आप रिवर्स शेल शोषण का उपयोग करना चाहते हैं, तो पोर्ट 9999 पर एक लिसनर सेट करें।

• Click Me!.docx उपयोगकर्ता को Rick Roll करेगा
• No Click Exploit.rtf एक रिवर्स शेल खोलेगा
• I'm Too Sneaky For Defender.docx तब भी कार्य करेगा जब Windows Defender की Real-Time Protection सक्षम हो और यह एक SearchNightmare हमला निष्पादित करेगा, जो Procmon के लिए एक खोज खोलता है