NachoVPN 🌮🔒

NachoVPN è una Proof of Concept che dimostra lo sfruttamento dei client SSL-VPN, utilizzando un server VPN rogue.

Utilizza un'architettura basata su plugin, così che il supporto per prodotti SSL-VPN aggiuntivi possa essere contribuito dalla community. Attualmente supporta vari popolari prodotti VPN aziendali, come Cisco AnyConnect, SonicWall NetExtender, Palo Alto GlobalProtect e Ivanti Connect Secure.

Per ulteriori dettagli, consulta il nostro post sul blog e la presentazione HackFest Hollywood 2024 [slides|video].

Installazione

Prerequisiti

• Python 3.9 o successivo
• Docker (opzionale)
• osslsigncode (solo Linux)
• msitools (solo Linux)
• python3-netfilter (solo Linux)
• git

Configurazione Linux

NachoVPN è sviluppato e testato su Ubuntu 22.04.

• Installa python3-nftables e nftables

• Opzionalmente usa setcap per evitare il requisito di sudo:

  root@kitploit:~

  sudo setcap 'cap_net_raw,cap_net_bind_service,cap_net_admin=eip' /usr/bin/python3.10
  

• Abilita l'IP forwarding:

  root@kitploit:~

  sudo sysctl -w net.ipv4.ip_forward=1
  

Installazione dal sorgente

NachoVPN può essere installato da GitHub usando pip. Nota che questo richiede che git sia installato.

Per prima cosa, crea un ambiente virtuale.

Su Linux, assicurati che l'ambiente virtuale abbia accesso ai site-packages di sistema, così che nftables funzioni:

python3 -m venv env --system-site-packages
source env/bin/activate

Su Windows, nftables (e quindi il packet forwarding) è disabilitato, quindi usa:

python -m venv env
.\env\Scripts\activate

Quindi, installa NachoVPN:

pip install git+https://github.com/AmberWolfCyber/NachoVPN.git

Se preferisci usare Docker, puoi scaricare il container dal GitHub Container Registry:

docker pull ghcr.io/AmberWolfCyber/nachovpn:release

Compilazione per la distribuzione

Creazione di un file wheel

Per prima cosa, clona questo repository e installa setuptools e wheel tramite pip. Puoi quindi eseguire lo script setup.py:

git clone https://github.com/AmberWolfCyber/NachoVPN
pip install -U setuptools wheel
python setup.py bdist_wheel

Questo genererà un file wheel nella directory dist, che può essere installato con pip:

pip install dist/nachovpn-1.0.0-py3-none-any.whl

Compilazione per lo sviluppo locale

In alternativa, per lo sviluppo locale puoi installare il pacchetto in modalità modificabile usando:

pip install -e .

Creazione di un'immagine container

Puoi creare l'immagine container con il seguente comando:

docker build -t nachovpn:latest .

Esecuzione

Per eseguire il server in modalità standalone, usa:

python -m nachovpn.server

In alternativa, puoi eseguire il server usando Docker:

docker run -e SERVER_FQDN=connect.nachovpn.local -e EXTERNAL_IP=1.2.3.4 -v ./certs:/app/certs -p 80:80 -p 443:443 --rm -it nachovpn

Questo genererà un certificato per SERVER_FQDN usando certbot e lo salverà nella directory certs, che abbiamo montato nel container.

In alternativa, per scopi di test, puoi saltare la generazione del certificato impostando la variabile d'ambiente SKIP_CERTBOT.

Questo genererà invece un certificato auto-firmato.

docker run -e SERVER_FQDN=connect.nachovpn.local -e SKIP_CERTBOT=1 -e EXTERNAL_IP=1.2.3.4 -p 443:443 --rm -it nachovpn

È fornito anche un esempio di file docker-compose per comodità.

Debug

Puoi eseguire nachovpn con gli argomenti da riga di comando -d o --debug per aumentare la verbosità del logging, il che può aiutare nel debug.

In alternativa, se il logging è troppo prolisso, puoi usare l'argomento da riga di comando q o --quiet.

Plugin

NachoVPN supporta i seguenti plugin e funzionalità:

| Plugin | Prodotto | CVE | Windows RCE | macOS RCE | Privilegi | Gestore URI | Cattura pacchetti | Demo | | -------- | ----------- | -------- | -------- | -------- | -------- | -------- | ---- | | Cisco | Cisco AnyConnect | N/A | ✅ | ✅ | ❌ | ❌ | ✅ | Windows / macOS | | SonicWall | SonicWall NetExtender | CVE-2024-29014 | ✅ | ❌ | ✅ | ✅ | ❌ | Windows | | PaloAlto | Palo Alto GlobalProtect | CVE-2024-5921 (correzione parziale) | ✅ | ✅ | ✅ | ❌ | ✅ | Windows / macOS / iOS | | PulseSecure | Ivanti Connect Secure | CVE-2020-8241 (bypassato) | ✅ | ✅ | ✅ | ✅ (solo Windows - disabilitato per impostazione predefinita in 22.8R1) | ✅ | Windows | | Netskope | Netskope | CVE-2025-0309 | ✅ | ❌ | ✅ | ❌ | ❌ | Windows | | Delinea | Protocol Handler | CVE-2026-???? | ✅ | ✅ | ❌ | ✅ | ❌ | Windows |

Gestori URI

• Il gestore URI di Ivanti Connect Secure (Pulse Secure) può essere attivato visitando l'URL /pulse sul server NachoVPN.
• Il gestore URI di SonicWall NetExtender può essere attivato visitando l'URL /sonicwall sul server NachoVPN. Questo richiede che SonicWall Connect Agent sia installato sul client.
• Il gestore URI di Delinea può essere attivato visitando l'URL /delinea sul server NachoVPN.

Note operative

• Si consiglia di usare un certificato TLS firmato da una Certificate Authority attendibile. Il container docker automatizza questo processo per te, usando certbot. Se non usi un certificato attendibile, NachoVPN genererà invece un certificato auto-firmato, che nella maggior parte dei casi farà sì che il client mostri un avviso sul certificato, oppure rifiuterà di connettersi a meno che non modifichi le impostazioni del client per accettare certificati auto-firmati. Per il plugin Palo Alto GlobalProtect, questo farà inoltre fallire l'installer MSI.
• Per simulare un certificato di firma del codice valido per il plugin SonicWall, NachoVPN firmerà il payload NACAgent.exe con un certificato auto-firmato. Per scopi di test, puoi scaricare e installare questo certificato CA da /sonicwall/ca.crt prima di attivare l'exploit. Per casi d'uso in produzione, dovrai ottenere un certificato di firma del codice valido da una CA pubblica, firmare il tuo payload NACAgent.exe e inserirlo nella directory payloads (oppure montarlo come volume in /app/payloads, se usi docker).
• Per comodità, viene generato un payload NACAgent.exe predefinito per il plugin SonicWall e scritto nella directory payloads. Questo semplicemente avvia un nuovo processo cmd.exe sul desktop dell'utente corrente, in esecuzione come SYSTEM.
• Il plugin Palo Alto GlobalProtect richiede che gli installer MSI e il file siano presenti nella directory . Puoi aggiungerli manualmente oppure eseguire lo script per scaricarli.

Disabilitare un plugin

Per disabilitare un plugin, aggiungilo alla variabile d'ambiente DISABLED_PLUGINS. Per esempio:

DISABLED_PLUGINS=CiscoPlugin,SonicWallPlugin

Variabili d'ambiente

NachoVPN viene configurato tramite variabili d'ambiente. Questo lo rende facilmente compatibile con distribuzioni containerizzate.

Variabili d'ambiente globali:

Variabili d'ambiente specifiche dei plugin:

Mitigazioni

Raccomandiamo le seguenti mitigazioni:

• Assicurati che i client SSL-VPN siano aggiornati all'ultima versione disponibile dal fornitore.
• La maggior parte dei client VPN supporta il concetto di bloccare il profilo VPN su un endpoint specifico, o di usare una modalità VPN always-on. Questa dovrebbe essere attivata dove possibile.
• Sfortunatamente, in alcuni casi questo blocco può essere rimosso da un utente locale malintenzionato, quindi si consiglia anche di usare regole firewall basate sull'host per limitare gli indirizzi IP con cui il client VPN può comunicare.
• Prendi in considerazione l'uso di una policy di Application Control, come WDAC, o di una soluzione EDR per garantire che solo eseguibili e script approvati possano essere eseguiti dal client VPN.
• Rileva e genera avvisi sui client VPN che eseguono processi figli non standard.

Riferimenti

• AmberWolf Blog: NachoVPN
• HackFest Hollywood 2024: Very Pwnable Networks: Exploiting the Top Corporate VPN Clients for Remote Root and SYSTEM Shells, Rich Warren & David Cash [video]
• BlackHat 2008: Leveraging the Edge: Abusing SSL VPNs, Mike Zusman
• BlackHat 2019: Infiltrating Corporate Intranet Like NSA, Orange Tsai & Meh Chang
• NCC Group: Making New Connections: Leveraging Cisco AnyConnect Client to Drop and Run Payloads, David Cash & Julian Storr
• The OpenConnect Project

Contributi

Accogliamo volentieri contributi! Apri un issue o invia una Pull Request.

Se sei interessato a sviluppare un nuovo plugin, puoi dare un'occhiata a ExamplePlugin per iniziare.

Licenza

NachoVPN è concesso in licenza sotto la licenza MIT. Vedi il file LICENSE per i dettagli.