WebDAVC2

ULTIMA/VERSIONE CORRENTE: 0.3

Autore: Arno0x0x - @Arno0x0x

WebDavC2 è un PoC che utilizza il protocollo WebDAV con sole richieste PROPFIND per fungere da canale di comunicazione C2 tra un agente, in esecuzione sul sistema di destinazione, e un controller che funge da server C2 vero e proprio.

Lo strumento è distribuito secondo i termini della licenza GPLv3.

Informazioni di base

Leggi questo post del blog su come e perché ho avuto l'idea di utilizzare solo richieste WebDAV PROPFIND come canale C2:

Wordpress:Using WebDAV features as a covert channel

Architettura

WebDavC2 è composto da:

• un controller, scritto in Python, che funge da server C2
• un agente, scritto in C#/.Net, in esecuzione sul sistema di destinazione, consegnato al sistema di destinazione tramite vari stager iniziali
• varie versioni di stager iniziali (creati al volo all'avvio del controller) utilizzati per la compromissione iniziale del sistema di destinazione

Caratteristiche

Caratteristiche principali di WebDavC2:

• Vari stager (script powershell one liner, file batch, diversi tipi di macro MS-Office, file JScript) - non ci sono limiti, puoi facilmente crearne di tuoi, dai un'occhiata alla cartella templates per un'idea
• Shell pseudo-interattiva (con persistenza dell'ambiente)
• Avvio automatico del servizio WebClient, anche da un utente senza privilegi utilizzando il trucco 'pushd'

Installazione e Configurazione

L'installazione è piuttosto semplice:

• Clonare questo repository Git: git clone https://github.com/Arno0x/WebDAVC2 WebDavC2
• Entrare nella cartella WebDavC2: cd WebDavC2
• Dare i permessi di esecuzione allo script principale: chmod +x webDavC2.py

Per avviare il controller, basta digitare ./webDavC2.py.

Compilazione del proprio agente

Sebbene sia perfettamente accettabile utilizzare il file agent.exe fornito, puoi facilmente compilare i tuoi eseguibili dell'agente dal codice sorgente fornito. Non è necessario avere Visual Studio installato.

• Copiare il file agent/agent.cs su una macchina Windows con il framework .Net installato
• Entrare nella directory del sorgente
• Utilizzare il compilatore C# da riga di comando .Net:
  • Per ottenere l'eseguibile standard dell'agente: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /out:agent.exe *.cs
  • Per ottenere la versione di debug: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /define:DEBUG /out:agent_debug.exe *.cs

DICHIARAZIONE DI RESPONSABILITÀ

Questo strumento è destinato ad essere utilizzato solo in modo legale e legittimo:

• sia sui propri sistemi come mezzo di apprendimento, per dimostrare cosa si può fare e come, o per testare i propri meccanismi di difesa e rilevamento
• su sistemi per i quali si è ufficialmente e legittimamente autorizzati a eseguire valutazioni di sicurezza (penetration test, audit di sicurezza)

Citando gli autori di Empire: Non c'è modo di costruire strumenti offensivi utili per l'industria legittima della sicurezza informatica impedendo contemporaneamente ad attori malintenzionati di abusarne.

TODO

Questo strumento è solo un PoC, quindi non aspettarti qualità da produzione, inoltre ha alcune limitazioni arbitrarie in termini di quantità di dati che possono essere trasferiti dall'agente al controller.

Da aggiungere:

• più stager?

Da correggere:

• Aumentare il limite di dimensione (arbitrario) dell'output dei comandi che può essere restituito al controller
• Aspetto feedback :)