APT-GUID

Introduzione al progetto

Raccolta di alcune risorse nel campo APT, che coprono ma non si limitano ai seguenti aspetti

• Strumenti di attacco APT

• Report di analisi APT

• Tecniche di attacco APT

Strumenti

Raccolta informazioni

Raccolta attiva di intelligence

• EyeWitness può acquisire screenshot di siti web, fornire alcune informazioni sul server e identificare le credenziali predefinite quando possibile https://github.com/ChrisTruncer/EyeWitness
• AWSBucketDump è uno strumento per enumerare rapidamente i bucket AWS S3 alla ricerca di dati utili https://github.com/jordanpotti/AWSBucketDump
• AQUATONE è uno strumento per la raccolta di informazioni sui domini https://github.com/michenriksen/aquatone
• Spoofcheck, usato per verificare se un dominio può essere spoofato; il programma controlla se nei record SPF e DMARC esistono configurazioni deboli che consentono lo spoofing https://github.com/BishopFox/spoofcheck
• Nmap è usato per scoprire host e servizi su reti di computer https://github.com/nmap/nmap
• dnsrecon è uno script di enumerazione DNS https://github.com/darkoperator/dnsrecon
• dirsearch è un semplice strumento a riga di comando per il brute force delle directory dei siti web https://github.com/maurosoria/dirsearch
• Sn1per è uno strumento di penetration test automatizzato https://github.com/1N3/Sn1per

Raccolta passiva di intelligence

• Social Mapper è uno strumento OSINT per la mappatura dei social media che prende un elenco di nomi utente e immagini (o nomi di aziende LinkedIn) ed esegue ricerche automatiche di massa su più siti di social media. Non è limitato dalle API perché usa Selenium. https://github.com/SpiderLabs/social_mapper
• skiptracer è un framework di sfruttamento OSINT https://github.com/xillwillx/skiptracer
• FOCA è usato principalmente per trovare metadati e informazioni nascoste nei documenti scansionati. https://github.com/ElevenPaths/FOCA
• theHarvester è usato per raccogliere sottodomini, indirizzi email, host virtuali, porte/banner e nomi di dipendenti da diverse fonti pubbliche. https://github.com/laramies/theHarvester
• Metagoofil è uno strumento per estrarre i metadati dei documenti pubblici disponibili nei siti web target (pdf, doc, xls, ppt, ecc.). https://github.com/laramies/metagoofil
• SimplyEmail per la ricognizione delle email. https://github.com/killswitch-GUI/SimplyEmail
• truffleHog cerca dati sensibili nei repository git, esaminando a fondo la cronologia dei commit e i branch. https://github.com/dxa4481/truffleHog
• Just-Metadata è uno strumento per raccogliere e analizzare metadati relativi agli indirizzi IP. Tenta di trovare relazioni tra sistemi in grandi set di dati. https://github.com/ChrisTruncer/Just-Metadata
• typofinder mostra il paese/regione in cui si trova un indirizzo IP. https://github.com/nccgroup/typofinder
• pwnedOrNot è uno script Python che verifica se un account email è stato compromesso a causa di una violazione dei dati; se l'account email è compromesso, procede alla ricerca della password di quell'account. https://github.com/thewhiteh4t/pwnedOrNot
• GitHarvester è uno strumento per raccogliere informazioni da GitHub, ad esempio con Google dork.

Sfruttamento di vulnerabilità

• WinRAR Remote Code Execution Proof of Concept exploit for CVE-2018-20250. https://github.com/WyAtu/CVE-2018-20250
• Composite Moniker Proof of Concept exploit for CVE-2017-8570. https://github.com/rxwx/CVE-2017-8570
• Exploit toolkit CVE-2017-8759 https://github.com/bhdresh/CVE-2017-8759
• CVE-2017-11882 Exploit https://github.com/unamer/CVE-2017-11882
• Adobe Flash Exploit CVE-2018-4878. https://github.com/anbai-inc/CVE-2018-4878
• Exploit toolkit CVE-2017-0199 è un comodo script Python che offre a penetration tester e ricercatori di sicurezza un modo rapido ed efficace per testare l'RCE di Microsoft Office. https://github.com/bhdresh/CVE-2017-0199
• demiguise strumento di crittografia HTA https://github.com/nccgroup/demiguise
• Office-DDE-Payloads raccoglie script e template per generare documenti Office con DDE incorporato (tecnica di esecuzione di comandi senza macro). https://github.com/0xdeadbeefJERKY/Office-DDE-Payloads
• CACTUSTORCH per la generazione di payload per la simulazione di avversari. https://github.com/mdsecactivebreach/CACTUSTORCH
• SharpShooter è un framework per la creazione di payload per eseguire codice sorgente CSharp arbitrario. https://github.com/mdsecactivebreach/SharpShooter
• DKMC, uno strumento per generare shellcode offuscati memorizzati nelle immagini. L'immagine è valida al 100% ed è anche shellcode valido al 100%. https://github.com/Mr-Un1k0d3r/DKMC
• Malicious Macro Generator viene usato per generare macro offuscate, includendo anche meccanismi di evasione AV/sandbox. https://github.com/Mr-Un1k0d3r/MaliciousMacroGenerator

Social Engineering e Phishing

• King Phisher https://github.com/securestate/king-phisher
• FiercePhish https://github.com/Raikia/FiercePhish
• ReelPhish https://github.com/fireeye/ReelPhish/
• Gophish https://github.com/gophish/gophish
• CredSniper https://github.com/ustayready/CredSniper
• PwnAuth https://github.com/fireeye/PwnAuth
• Phishing Frenzy https://github.com/pentestgeek/phishing-frenzy
• Phishing Pretexts https://github.com/L4bF0x/PhishingPretexts
• Modlishka https://github.com/drk1wi/Modlishka
• Evilginx2 https://github.com/kgretzky/evilginx2

Framework C2

• Cobalt Strike https://cobaltstrike.com/

• Empire https://github.com/EmpireProject/Empire

• Metasploit Framework https://github.com/rapid7/metasploit-framework

• SILENTTRINITY https://github.com/byt3bl33d3r/SILENTTRINITY

• Pupy https://github.com/n1nj4sec/pupy

• Koadic https://github.com/zerosum0x0/koadic

• PoshC2 https://github.com/nettitude/PoshC2_Python

• Gcat https://github.com/byt3bl33d3r/gcat

• TrevorC2 https://github.com/trustedsec/trevorc2

• Merlin https://github.com/Ne0nd0g/merlin

• Quasar https://github.com/quasar/QuasarRAT

• Covenant https://github.com/cobbr/Covenant

• FactionC2 https://github.com/FactionC2/

• DNScat2 https://github.com/iagox86/dnscat2

• Sliver https://github.com/BishopFox/sliver

• EvilOSX

Post-esploitazione

• CrackMapExec https://github.com/byt3bl33d3r/CrackMapExec
• PowerLessShell https://github.com/Mr-Un1k0d3r/PowerLessShell
• GoFetch automatizza l'esecuzione dei piani di attacco generati da BloodHound. https://github.com/GoFetchAD/GoFetch
• ANGRYPUPPY automazione dei percorsi di attacco BloodHound in CobaltStrike. https://github.com/vysec/ANGRYPUPPY
• DeathStar https://github.com/byt3bl33d3r/DeathStar
• SharpHound https://github.com/BloodHoundAD/SharpHound
• BloodHound.py è un ingestor di BloodHound basato su Python, basato su Impacket. https://github.com/fox-it/BloodHound.py
• Responder strumento per attacchi man-in-the-middle https://github.com/SpiderLabs/Responder
• SessionGopher è uno strumento PowerShell che usa WMI per estrarre le informazioni sulle sessioni salvate da strumenti di accesso remoto come WinSCP, PuTTY, SuperPuTTY, FileZilla e Microsoft Remote Desktop. https://github.com/fireeye/SessionGopher
• PowerSploit insieme di strumenti PowerShell https://github.com/PowerShellMafia/PowerSploit
• Nishang https://github.com/samratashok/nishang
• Inveigh strumento per attacchi man-in-the-middle https://github.com/Kevin-Robertson/Inveigh
• PowerUpSQL un toolkit PowerShell per attaccare SQL Server. https://github.com/NetSPI/PowerUpSQL
• MailSniper https://github.com/dafthack/MailSniper

Proxy di rete

• Tunna usato per bypassare le restrizioni di rete in ambienti con firewall https://github.com/SECFORCE/Tunna
• reGeorg strumento proxy SOCKS https://github.com/sensepost/reGeorg
• Blade strumento di gestione webshell https://github.com/wonderqs/Blade
• TinyShell framework per Web Shell. https://github.com/threatexpress/tinyshell
• PowerLurk un insieme di strumenti PowerShell per costruire WMI dannosi. https://github.com/Sw4mpf0x/PowerLurk
• DAMP persistenza tramite modifica dei descrittori di sicurezza basati su host https://github.com/HarmJ0y/DAMP

Privilege Escalation

Privilege Escalation nel dominio

• PowerView https://github.com/PowerShellMafia/PowerSploit/blob/master/Recon/PowerView.ps1
• Get-GPPPassword https://github.com/PowerShellMafia/PowerSploit/blob/master/Exfiltration/Get-GPPPassword.ps1
• Invoke-ACLpwn https://github.com/fox-it/Invoke-ACLPwn
• BloodHound https://github.com/BloodHoundAD/BloodHound
• PyKEK https://github.com/SecWiki/windows-kernel-exploits/tree/master/MS14-068/pykek
• Grouper strumento per trovare automaticamente vulnerabilità dei criteri di gruppo https://github.com/l0ss/Grouper
• ADRecon https://github.com/sense-of-security/ADRecon
• ADACLScanner https://github.com/canix1/ADACLScanner
• ACLight usato per scoprire account privilegiati di dominio che possono essere presi di mira, inclusi gli Shadow Admins. https://github.com/cyberark/ACLight
• LAPSToolkit https://github.com/leoloobeek/LAPSToolkit
• PingCastle https://www.pingcastle.com/download
• RiskySPNs è una raccolta di script PowerShell focalizzata sul rilevamento e l'interrogazione degli account associati agli SPN (Service Principal Names). https://github.com/cyberark/RiskySPN
• Mystique è uno strumento PowerShell che funziona con le estensioni Kerberos S4U. Questo modulo, combinando KCD con la conversione di protocollo, aiuta i blue team a identificare configurazioni pericolose di delega Kerberos e i red team a impersonare qualsiasi utente.

Privilege Escalation su Linux

• https://github.com/Al1ex/Heptagram/tree/master/Linux/Elevation Raccolta di tecniche di privilege escalation su Linux
• https://github.com/AlessandroZ/BeRoot py, trova metodi di privilege escalation controllando configurazioni errate comuni. Supporta Windows/Linux/Mac
• https://github.com/mschwager/0wned usa un pacchetto Python per creare utenti con privilegi elevati
• https://github.com/mzet-/linux-exploit-suggester script per trovare quali patch mancano a Linux
• https://github.com/belane/linux-soft-exploit-suggester trova quali software vulnerabili sono presenti su Linux
• https://github.com/dirtycow/dirtycow.github.io exploit per la vulnerabilità di privilege escalation Dirty Cow
• https://github.com/FireFart/dirtycow exploit per la vulnerabilità di privilege escalation Dirty Cow
• https://github.com/stanleyb0y/sushell usa un ladro di su per permettere a utenti con privilegi bassi di rubare la password di root
• https://github.com/jas502n/CVE-2018-17182/ vulnerabilità di privilege escalation VMA-UAF nel kernel Linux CVE-2018-17182
• https://github.com/jas502n/CVE-2018-14665 CVE-2018-14665, exploit di privilege escalation per il server X Xorg su Linux
• https://github.com/nmulasmajic/syscall_exploit_CVE-2018-8897 sfrutta le Syscall per ottenere privilege escalation su Linux
• https://github.com/can1357/CVE-2018-8897 sfrutta le Syscall per ottenere privilege escalation su Linux
• https://github.com/SecWiki/linux-kernel-exploits linux-kernel-exploits raccolta di vulnerabilità di privilege escalation per piattaforma Linux
• https://github.com/nilotpalbiswas/Auto-Root-Exploit script automatico di privilege escalation per Linux

Privilege Escalation su Windows

• https://github.com/Al1ex/Heptagram/tree/master/Windows/Elevation Raccolta di tecniche di privilege escalation su Windows
• http://www.fuzzysecurity.com/tutorials/16.html articolo di riferimento a livello di tutorial per la privilege escalation su piattaforma Windows
• https://github.com/SecWiki/windows-kernel-exploits raccolta di exploit di vulnerabilità di privilege escalation su piattaforma Windows
• https://github.com/51x/WHP vari strumenti di privilege escalation e exploitation per Windows
• https://github.com/rasta-mouse/Sherlock verifica delle vulnerabilità di privilege escalation su Windows
• https://github.com/WindowsExploits/Exploits exploit di privilege escalation per Microsoft CVE-2012-0217, CVE-2016-3309, CVE-2016-3371, CVE-2016-7255, CVE-2017-0213
• https://github.com/decoder-it/lonelypotato variante di RottenPotatoNG, sfrutta lo spoofing del dominio locale NBNS e lo spoofing del proxy WPAD per la privilege escalation
• https://github.com/ohpe/juicy-potato variante di RottenPotatoNG, usa oggetti COM e token utente per la privilege escalation
• https://github.com/foxglovesec/Potato variante di RottenPotatoNG, sfrutta lo spoofing del dominio locale e il proxy spoofing per la privilege escalation
• https://github.com/DanMcInerney/icebreaker se ti trovi in una rete interna ma fuori dall'ambiente AD, icebreaker ti aiuterà a ottenere credenziali Active Directory in chiaro (l'Active Directory memorizzata nei controller di dominio può essere usata per la privilege escalation)
• https://github.com/hausec/ADAPE-Script script di privilege escalation per Active Directory
• https://github.com/klionsec/BypassAV-AllThings usa una webshell aspx one-liner insieme a payload di privilege escalation
• https://github.com/St0rn/Windows-10-Exploit plugin per MSF, bypass UAC su Windows 10

Esfiltrazione dati

• CloakifyFactory & the Cloakify Toolset - https://github.com/TryCatchHCF/Cloakify
• DET (è fornito così com'è), è una POC per eseguire esfiltrazione di dati usando uno o più canali contemporaneamente. https://github.com/sensepost/DET
• DNSExfiltrator . https://github.com/Arno0x/DNSExfiltrator
• PyExfil un pacchetto Python per l'esfiltrazione di dati. https://github.com/ytisf/PyExfil
• Egress-Assess è uno strumento per testare le capacità di rilevamento dei dati in uscita. https://github.com/ChrisTruncer/Egress-Assess
• Powershell RAT backdoor basato su Python che usa Gmail per trasferire dati come allegati email. https://github.com/Viralmaniar/Powershell-RAT

Altro

Simulazione di avversari

• MITRE CALDERA simula le tecniche di attacco degli intrusi e le analizza https://github.com/mitre/caldera
• APTSimulator https://github.com/NextronSystems/APTSimulator
• Atomic Red Team - https://github.com/redcanaryco/atomic-red-team
• Network Flight Simulator https://github.com/alphasoc/flightsim
• Metta - https://github.com/uber-common/metta
• Red Team Automation (RTA) - RTA fornisce un framework di script che permette ai blue team di modellare le proprie difese secondo MITRE ATT&CK e testare le capacità di rilevamento contro strumenti dannosi. https://github.com/endgameinc/RTA

Attacchi wireless

• Wifiphisher strumento di attacco automatico di associazione WIFI. https://github.com/wifiphisher/wifiphisher
• mana attacco man-in-the-middle. https://github.com/sensepost/mana

Attacchi embedded- magspoof https://github.com/samyk/magspoof

• WarBerryPi https://github.com/secgroundzero/warberry
• P4wnP1 https://github.com/mame82/P4wnP1
• malusb https://github.com/ebursztein/malusb
• Fenrir https://github.com/Orange-Cyberdefense/fenrir-ocd
• poisontap https://github.com/samyk/poisontap
• WHID https://github.com/whid-injector/WHID
• PhanTap https://github.com/nccgroup/phantap

Comunicazioni occulte

• RocketChat https://rocket.chat
• Etherpad https://etherpad.org/

Gestione dei log

• RedELK https://github.com/outflanknl/RedELK/
• CobaltSplunk https://github.com/vysec/CobaltSplunk
• Red Team Telemetry https://github.com/ztgrace/red_team_telemetry
• Elastic for Red Teaming https://github.com/SecurityRiskAdvisors/RedTeamSIEM
• Ghostwriter https://github.com/GhostManager/Ghostwriter

Weaponizzazione in C#

• SharpSploit framework di post-exploitation .NET https://github.com/cobbr/SharpSploit
• GhostPack set di strumenti C# https://github.com/GhostPack
• SharpWeb recupera le password dei browser comuni https://github.com/djhohnstein/SharpWeb
• reconerator https://github.com/stufus/reconerator
• SharpView versione C# di PowerView. https://github.com/tevora-threat/SharpView
• Watson https://github.com/rasta-mouse/Watson

LABS

• Detection Lab automatizza la creazione di un lab https://github.com/clong/DetectionLab ---consigliato a cinque stelle
• Modern Windows Attacks and Defense Labhttps://github.com/jaredhaight/WindowsAttackAndDefenseLab
• Invoke-UserSimulator https://github.com/ubeeri/Invoke-UserSimulator
• Invoke-ADLabDeployer distribuzione automatizzata di ambienti AD https://github.com/outflanknl/Invoke-ADLabDeployer
• Sheepl https://github.com/SpiderLabs/sheepl

Script

Aggressor Scripts

• https://github.com/invokethreatguy/CSASC
• https://github.com/secgroundzero/CS-Aggressor-Scripts
• https://github.com/Und3rf10w/Aggressor-scripts
• https://github.com/harleyQu1nn/AggressorScripts
• https://github.com/rasta-mouse/Aggressor-Script
• https://github.com/RhinoSecurityLabs/Aggressor-Scripts
• https://github.com/bluscreenofjeff/AggressorScripts
• https://github.com/001SPARTaN/aggressor_scripts
• https://github.com/360-A-Team/CobaltStrike-Toolset
• https://github.com/FortyNorthSecurity/AggressorAssessor
• https://github.com/ramen0x3f/AggressorScripts

Red-Team

• https://github.com/FuzzySecurity/PowerShell-Suite
• https://github.com/nettitude/Powershell
• https://github.com/Mr-Un1k0d3r/RedTeamPowershellScripts
• https://github.com/threatexpress/red-team-scripts
• https://github.com/SadProcessor/SomeStuff
• https://github.com/rvrsh3ll/Misc-Powershell-Scripts
• https://github.com/enigma0x3/Misc-PowerShell-Stuff
• https://github.com/ChrisTruncer/PenTestScripts
• https://github.com/bluscreenofjeff/Scripts
• https://github.com/xorrior/RandomPS-Scripts
• https://github.com/xorrior/Random-CSharpTools
• https://github.com/leechristensen/Random
• https://github.com/mgeeky/Penetration-Testing-Tools/tree/master/social-engineering