RedPeanut è un piccolo RAT sviluppato in .Net Core 2 e il suo agente in .Net 3.5 / 4.0.
__________________________________________________________________________
ooooooo________________oo_ooooooo___________________________________oo____
oo____oo___ooooo___oooooo_oo____oo__ooooo___ooooo__oo_ooo__oo____o__oo____
oo____oo__oo____o_oo___oo_oo____oo_oo____o_oo___oo_ooo___o_oo____o_oooo___
ooooooo___ooooooo_oo___oo_oooooo___ooooooo_oo___oo_oo____o_oo____o__oo____
oo____oo__oo______oo___oo_oo_______oo______oo___oo_oo____o_ooo___o__oo__o_
oo_____oo__ooooo___oooooo_oo________ooooo___oooo_o_oo____o_oo_ooo____ooo__
__________________________________________________________________________
________________________________________________RedPeanut_v0.3.0___@b4rtik
__________________________________________________________________________
Attualmente in fase di test.
Problemi noti dei moduli:
process -> spawnasagent
process -> spawnasshellcode
RedPeanut è un piccolo RAT sviluppato in .Net Core 2 e il suo agente in .Net 3.5 / 4.0. L'esecuzione del codice di RedPeanut si basa su shellcode generato con DonutCS. È quindi un ibrido; sebbene sviluppato in .Net, non si basa esclusivamente su Assembly.Load. Ciò aumenta la superficie di rilevamento, ma ci consente di esercitarci e sperimentare varie tecniche di evasione relative all'ambiente dotnet, alla gestione dei processi e all'iniezione. Questo comportamento può essere modificato a runtime con i comandi "managed" e "unmanaged". Se sei interessato a un framework C2 .Net che sia consistente e possa essere utilizzato in un impegno, suggerisco Covenant.
RedPeanut è armato con:
L'agente RedPeanut può essere compilato in .Net 3.5 e 4.0 e ha capacità di pivoting tramite NamedPipe. L'agente, quando eseguito in modalità non gestita, esegue le proprie operazioni critiche in un processo separato per impedire che la risposta dell'AV al rilevamento o un errore durante l'esecuzione ti faccia perdere l'intero agente.
Il flusso di esecuzione è il seguente:
L'agente attualmente supporta solo il canale https.
Il protocollo di checkin dell'agente è molto semplice:
In alternativa, è possibile attivare la funzionalità del canale coperto (al momento è solo un PoC). L'idea è imitare il traffico web effettuato da un utente reale. Di solito una pagina web è composta dalla pagina html e da tutti gli oggetti necessari per la sua visualizzazione come css, immagini, ecc. Alla richiesta di un nuovo compito, la risposta del server non sarà direttamente il compito crittografato, ma una pagina html da cui estrarre il link all'immagine che avrà incorporato il compito crittografato. La richiesta http per l'immagine conterrà l'header Referer.
La consegna dei contenuti è organizzata in 4 canali:
La capacità di RedPeanut di personalizzare l'impronta di rete sia lato server che lato client. Le proprietà che possono essere impostate sono:
Domain Fronting
Per abilitare il supporto al domain fronting è necessario valorizzare l'header "Host" nella sezione client, sia post che get (esemplificato nel profilo predefinito 2)
Il modulo PowerShellExecuter consente di eseguire comandi oneliner o file in un runspace con bypass di AMSI, bypass del logging e PowerView già caricato.
A partire dalla versione 0.3.0 RedPeanutAgent supporta il comando blockdlls. Con questa opzione abilitata, i processi figlio creati per eseguire attività in modalità non gestita vengono creati con l'attributo PROCESS_CREATION_MITIGATION_POLICY_BLOCK_NON_MICROSOFT_BINARIES_ALWAYS_ON. Questo attributo impedisce al processo di caricare dll non firmate da Microsoft, il che potrebbe proteggere le nostre attività dalle tecniche di hooking di AV e EDR.
RedPeanutAgent utilizza il caricamento dinamico delle DLL per evitare l'uso di importazioni DLL sospette. I crediti per il caricamento dinamico delle DLL vanno a @TheRealWover, @cobbr_io e @FuzzySec per il loro lavoro in SharpSploit.
Alcuni fornitori di AV e EDR utilizzano tecniche di hooking per tenere traccia delle attività. Per evitare l'uso di syscall hookate, RedPeanutAgent utilizza syscall dirette, auto-iniettando il codice necessario. I crediti per le syscall dirette vanno a @Cneelis
Per eseguire RedPeanut è necessario avere dotnet installato. Per installare dotnet su Kali: