APT Simulator

महत्वपूर्ण: यदि आप कुछ परीक्षण विकसित करने की योजना नहीं बनाते हैं, तो केवल ZIP डाउनलोड न करें या रेपो को क्लोन न करें। रिलीज़ में दिए गए पैकेज का उपयोग करें, जिसमें एन्क्रिप्टेड आर्काइव्स के साथ एक पैकेज्ड वर्जन होता है जिसमें क्लियरटेक्स्ट सैंपल और टूल्स नहीं होते हैं।

APT Simulator एक Windows Batch स्क्रिप्ट है जो टूल्स और आउटपुट फ़ाइलों के एक सेट का उपयोग करके सिस्टम को ऐसा दिखाती है जैसे कि वह से समझौता किया गया हो। अन्य एडवर्सरी सिमुलेशन टूल्स के विपरीत, APT Simulator एप्लिकेशन को यथासंभव सरल बनाने के लिए डिज़ाइन किया गया है। आपको वेब सर्वर, डेटाबेस या वर्चुअल मशीनों के सेट पर कोई एजेंट चलाने की आवश्यकता नहीं है। बस तैयार आर्काइव डाउनलोड करें, निकालें और समाहित Batch फ़ाइल को Administrator के रूप में चलाएँ। APT Simulator चलाने में आपका एक मिनट से भी कम समय लगता है।

उपयोग के मामले

1. POCs: एंडपॉइंट डिटेक्शन एजेंट / समझौता मूल्यांकन उपकरण
2. अपनी सुरक्षा निगरानी की डिटेक्शन क्षमताओं का परीक्षण करें
3. अपने SOC की प्रतिक्रिया का परीक्षण करें जो EICAR या पोर्ट स्कैन नहीं है
4. डिजिटल फोरेंसिक कक्षाओं के लिए वातावरण तैयार करें

प्रेरणाएँ

ग्राहकों ने POC में हमारे स्कैनर्स का परीक्षण किया और हमें शिकायत भेजी कि हमारे स्कैनर्स ने उन प्रोग्रामों की रिपोर्ट नहीं की जो उन्होंने अपने परीक्षण सिस्टम पर स्थापित किए थे। उन्होंने Nmap स्थापित किया था, Downloads फ़ोल्डर में PsExec.exe ड्रॉप किया था और उपयोगकर्ता के डेस्कटॉप पर EICAR टेस्ट वायरस रखा था। यही वह क्षण था जब मैंने एक उपकरण बनाने का निर्णय लिया जो वास्तविक खतरे का अधिक उपयुक्त तरीके से अनुकरण करता है।

Batch क्यों?

• क्योंकि यह सरल है: हर कोई इसे पढ़, संशोधित या विस्तारित कर सकता है
• यह बिना किसी पूर्वापेक्षा के हर Windows सिस्टम पर चलता है
• यह कमांड लाइन पर काम करने वाले वास्तविक हमलावर के सबसे करीब है

फ़ोकस

इस उपकरण का फ़ोकस एडवर्सरी गतिविधि का अनुकरण करना है, मैलवेयर का नहीं। एडवर्सरी और मैलवेयर गतिविधि का अनुकरण करने के लिए उन्नत उपकरणों के लिए उन्नत समाधान अनुभाग देखें।

आरंभ करना

1. "release" अनुभाग से नवीनतम रिलीज़ डाउनलोड करें
2. डेमो सिस्टम पर पैकेज निकालें (पासवर्ड: apt)
3. cmd.exe को Administrator के रूप में प्रारंभ करें
4. निकाले गए प्रोग्राम फ़ोल्डर पर जाएँ और APTSimulator.bat चलाएँ

प्रारंभिक डिटेक्शन से बचना

Batch स्क्रिप्ट रनटाइम पर एन्क्रिप्टेड 7z आर्काइव से टूल्स और शेल्स निकालती है। "download as ZIP" बटन का उपयोग करके मास्टर रेपो डाउनलोड न करें। इसके बजाय release अनुभाग से आधिकारिक रिलीज़ का उपयोग करें।

AV Excluder

APT Simulator में "AVExcluder" नामक एक मॉड्यूल है जो सामान्य AV समाधानों में उपयोग किए गए %APTDIR% को AV बहिष्करण के रूप में पंजीकृत करने का प्रयास करता है। चूंकि मेरे पास बाजार में सभी AV सॉफ़्टवेयर उत्पादों तक पहुंच नहीं है, कृपया त्रुटियों की रिपोर्ट करें या पुल रिक्वेस्ट के रूप में नए बहिष्करण जोड़ें।

परीक्षण मामलों का विस्तार

संस्करण 0.4 के बाद से, टेस्ट-सेट श्रेणी फ़ोल्डरों में से एक में एक .bat फ़ाइल जोड़कर टेस्ट सेट का विस्तार करना काफी आसान है।

उदाहरण के लिए, यदि आप "privilege escalation" के लिए एक सरल परीक्षण मामला लिखना चाहते हैं, जो "privesc.exe" नामक एक उपकरण का उपयोग करता है, तो रेपो को क्लोन करें और निम्नलिखित करें:

1. अपना उपकरण toolset फ़ोल्डर में जोड़ें
2. एक नई बैच स्क्रिप्ट privesc-1.bat लिखें और इसे ./test-sets/privilege-escalation फ़ोल्डर में जोड़ें
3. build_pack.bat चलाएँ
4. README.md में तालिका और टेस्ट सेट अनुभाग में अपना परीक्षण मामला जोड़ें
5. एक पुल रिक्वेस्ट बनाएँ

टूल और फ़ाइल निष्कर्षण

यदि आपकी स्क्रिप्ट में एक टूल, वेब शेल, सहायक या आउटपुट फ़ाइल शामिल है, तो उन्हें फ़ोल्डरों ./toolset या ./workfiles में रखें। बिल्ड स्क्रिप्ट build_pack.bat चलाने से वे एन्क्रिप्टेड आर्काइव enc-toolset.7z और enc-files.7z में शामिल हो जाएँगी।

एक टूल निकालें

"%ZIP%" e -p%PASS% %TOOLARCH% -aoa -o%APTDIR% toolset\tool.exe > NUL

एक फ़ाइल निकालें

"%ZIP%" e -p%PASS% %FILEARCH% -aoa -o%APTDIR% workfile\tool-output.txt > NUL

डिटेक्शन

निम्न तालिका विभिन्न परीक्षण मामलों और अपेक्षित डिटेक्शन परिणामों को दर्शाती है।

• AV = एंटीवायरस
• NIDS = नेटवर्क इंट्रूज़न डिटेक्शन सिस्टम
• EDR = एंडपॉइंट डिटेक्शन और रिस्पॉन्स
• SM = सुरक्षा निगरानी
• CA = समझौता मूल्यांकन

Cobalt Strike Beacon गतिविधि

अब आपको अपने सुरक्षा निगरानी समाधान (SIEM, EDR आदि) में निम्नलिखित कीवर्ड के लिए ईवेंट मिलने चाहिए:

नामित पाइप्स

• MSSE-1337-server
• msagent_fedac123
• postex_ssh_fedac123
• 334485 (Get System गतिविधि में उपयोग किया गया)

नोट: कोई नामित पाइप निगरानी नहीं? आप Sysmon + इस config और इस Sigma नियम का उपयोग करके शुरू कर सकते हैं।

Get System गतिविधि

• b6a1458f396 (एकाधिक ईवेंट: नई सेवा पंजीकरण और प्रक्रिया निर्माण)

नोट: कोई ईवेंट नहीं? आप इस Sigma नियम का उपयोग करके शुरू कर सकते हैं।

C2 Beaconing

• http://10.0.2.15/pixel.gif
• https://operaa.net:443/jquery-3.2.2.min.js
• https://23.108.57.148:443/jquery-3.2.2.full.js

परीक्षण सेट

संग्रह

स्थानीय फ़ाइलें एकत्र करें

• pwdump आउटपुट को कार्यशील निर्देशिका में ड्रॉप करता है
• निर्देशिका लिस्टिंग को कार्यशील निर्देशिका में ड्रॉप करता है

कमांड और नियंत्रण

C2 कनेक्शन

• ज्ञात C2 सर्वरों तक पहुंचने के लिए Curl का उपयोग करता है

DNS कैश 1

• DNS अनुरोध उत्पन्न करने और पतों को स्थानीय DNS कैश में लाने के लिए कई ज्ञात C2 पतों को देखता है

दुर्भावनापूर्ण उपयोगकर्ता एजेंट

• वेब साइटों तक पहुंचने के लिए दुर्भावनापूर्ण उपयोगकर्ता एजेंट का उपयोग करता है

Ncat बैक कनेक्ट

• PowerShell Ncat विकल्प को कार्यशील निर्देशिका में ड्रॉप करता है और इसे ज्ञात हमलावर डोमेन से बैक कनेक्ट करने के लिए चलाता है

WMI बैकडोर C2

• Matt Graeber के WMIBackdoor का उपयोग करके निश्चित अंतराल पर C2 से संपर्क करता है

क्रेडेंशियल एक्सेस

LSASS DUMP

• LSASS प्रक्रिया मेमोरी को संदिग्ध फ़ोल्डर में डंप करता है

Mimikatz-1

• mimikatz आउटपुट को कार्यशील निर्देशिका में डंप करता है (यदि अन्य निष्पादन विफल होते हैं तो फॉलबैक)
• mimikatz का विशेष संस्करण चलाएँ और आउटपुट को कार्यशील निर्देशिका में डंप करें
• मेमोरी में Invoke-Mimikatz चलाएँ (गिटहब डाउनलोड, रिफ्लेक्शन)

WCE-1

• Windows इवेंटलॉग प्रविष्टियाँ बनाता है जो WCE निष्पादित होने जैसी दिखती हैं

रक्षा चोरी

सक्रिय अतिथि खाता व्यवस्थापक

• अतिथि उपयोगकर्ता को सक्रिय करता है
• अतिथि उपयोगकर्ता को स्थानीय व्यवस्थापकों में जोड़ता है

फ़ेक सिस्टम फ़ाइल

• %PUBLIC% फ़ोल्डर में सिस्टम फ़ाइल नाम (svchost.exe) के साथ संदिग्ध निष्पादन योग्य ड्रॉप करता है
• %PUBLIC% फ़ोल्डर में उस संदिग्ध प्रोग्राम को चलाता है

होस्ट्स

• स्थानीय होस्ट्स फ़ाइल में प्रविष्टियाँ जोड़ता है (अपडेट ब्लॉकर, मैलवेयर के कारण प्रविष्टियाँ)

JS ड्रॉपर

• wscript.exe के साथ अस्पष्ट JavaScript कोड चलाता है और पोर्ट 1234/tcp पर डिकोड की गई बाइंड शेल प्रारंभ करता है

अस्पष्टता

• JPG एक्सटेंशन के साथ क्लोक की गई RAR फ़ाइल ड्रॉप करता है

खोज

Nbtscan खोज

• 3 निजी IP पता वर्ग-C सबनेट को स्कैन करता है और आउटपुट को कार्यशील निर्देशिका में डंप करता है

रिकॉन

• हमलावरों द्वारा लक्ष्य सिस्टम के बारे में जानकारी प्राप्त करने के लिए उपयोग किए जाने वाले कमांड को निष्पादित करता है

निष्पादन

PsExec

• PsExec का एक नाम बदला हुआ संस्करण कार्यशील निर्देशिका में डंप करता है
• LOCAL_SYSTEM संदर्भ में कमांड लाइन प्रारंभ करने के लिए PsExec चलाएँ

दूरस्थ निष्पादन उपकरण

• एक दूरस्थ निष्पादन उपकरण को कार्यशील निर्देशिका में ड्रॉप करता है

पार्श्व गति

अभी तक कोई परीक्षण मामला नहीं

स्थिरता

At जॉब

• एक at जॉब बनाता है जो mimikatz चलाता है और क्रेडेंशियल्स को फ़ाइल में डंप करता है

RUN कुंजी

• एक संदिग्ध नई RUN कुंजी प्रविष्टि बनाता है जो "net user" आउटपुट को फ़ाइल में डंप करता है

निर्धारित कार्य

• एक निर्धारित कार्य बनाता है जो mimikatz चलाता है और आउटपुट को फ़ाइल में डंप करता है

निर्धारित कार्य XML

• Invoke-SchtasksBackdoor.ps1 का उपयोग करके XML फ़ाइल के माध्यम से एक निर्धारित कार्य बनाता है

Sticky Key बैकडोर

• sethc.exe को cmd.exe से बदलने का प्रयास करता है (बैकअप फ़ाइल बनाई जाती है)
• cmd.exe को sethc.exe के लिए डीबगर के रूप में पंजीकृत करने का प्रयास करता है

वेब शेल्स

• एक मानक वेब रूट निर्देशिका बनाता है
• उस निर्देशिका में मानक वेब शेल ड्रॉप करता है
• उस निर्देशिका में GIF अस्पष्ट वेब शेल ड्रॉप करता है

UserInitMprLogonScript स्थिरता

• UserInitMprLogonScript कुंजी का उपयोग करके स्थिरता प्राप्त करता है

WMI बैकडोर

• Matt Graeber के WMIBackdoor का उपयोग करके स्थानीय procexp64.exe को मारता है जब वह प्रारंभ होता है

बैच मोड

संस्करण 0.8.0 के बाद से, APTSimulator में @juju4 द्वारा प्रदान किया गया बैच मोड है जो इसे स्क्रिप्टेड तरीके से चलाने की अनुमति देता है, उदाहरण के लिए Ansible के माध्यम से

APTSimulator.bat -b

चेतावनी

इस रेपो में उपकरण और निष्पादन योग्य फ़ाइलें हैं जो आपके सिस्टम की अखंडता और स्थिरता को नुकसान पहुंचा सकती हैं। इनका उपयोग केवल गैर-उत्पादक परीक्षण या डेमो सिस्टम पर करें। शुरू करने से पहले एक स्नैपशॉट बनाएं। अन्यथा आपको सभी संशोधनों को मैन्युअल रूप से हटाना होगा, जो एक कठिन काम है।

स्क्रीनशॉट

उन्नत समाधान

CALDERA स्वचालित एडवर्सरी एमुलेशन सिस्टम https://github.com/mitre/caldera

Infection Monkey - एक स्वचालित पेंटेस्ट उपकरण https://github.com/guardicore/monkey

Flightsim - दुर्भावनापूर्ण नेटवर्क ट्रैफ़िक उत्पन्न करने और नियंत्रणों का मूल्यांकन करने के लिए एक उपयोगिता https://github.com/alphasoc/flightsim

एकीकृत परियोजनाएँ / सॉफ़्टवेयर

• Mimikatz
• PowerSploit
• PowerCat
• PsExec
• ProcDump
• 7Zip
• curl

संपर्क

मुझे Twitter पर @cyb3rops पर फॉलो करें और संपर्क करें