Wareed DNS C2

WAREED è un Command and Control (C2) che utilizza il protocollo DNS per comunicazioni sicure tra il server e il target. Progettato per ridurre al minimo le comunicazioni e limitare lo scambio di dati, è pensato per essere un C2 di primo stadio per persistere su macchine che non hanno accesso a internet via HTTP/HTTPS, ma dove il DNS è consentito.

sviluppato da : @Fsalabduljabbar

Come funziona

Perché Wareed

Mentre molti framework Command and Control (C2) supportano il DNS come protocollo di trasporto, sono prevalentemente progettati per HTTP/HTTPS. Adattare questi framework al DNS spesso comporta operazioni più lente e meno stabili. Avendo affrontato numerose sfide legate all'instabilità di questi framework per le transazioni DNS, sono stato costretto a creare una soluzione specificamente su misura per il DNS. Il risultato è Wareed: un framework C2 esclusivamente DNS. Questa specializzazione produce un funzionamento più stabile ed efficiente, rendendo Wareed più veloce e affidabile rispetto ai framework C2 tradizionali che non sono progettati principalmente per il DNS. Questo rende Wareed una scelta ideale per ambienti in cui il traffico DNS è consentito ma HTTP/HTTPS è limitato.

Informazioni

È stato sviluppato utilizzando tre linguaggi di programmazione:

1. Hams Agent in C
2. Wareed Team server in Golang
3. Ather Client GUI in C++

Spiegazione dei nomi:

Hams (همس) significa "sussurro" in arabo

Wareed (وريد) significa "vena" in arabo

Ather (أثر) significa "traccia" in arabo

Demo

Prerequisiti

1. Un nome di dominio valido e controllato
2. Kali Linux 2023+ o Ubuntu 23+
3. Un redirector (Ubuntu) per gestire le connessioni DNS (opzionale)

Installazione

Passo 1: Clona il repository Wareed:

git clone https://github.com/Faisal-P27/WAREED-DNS-C2.git

Passo 2: Esegui lo script di setup:

cd WAREED-DNS-C2
chmod +x Run.sh
sudo ./Run.sh setup

Se il processo di compilazione viene completato correttamente, verranno generati due file eseguibili nella stessa directory:

• WareedServer: questo file funge da eseguibile per il team server
• Ather: questo file è l'eseguibile per il client GUI.

Inoltre, verificherà lo stato di compilazione dell'Agent. Se ha successo, conferma che l'Agent è pronto per essere distribuito e operativo, il che è fondamentale per il funzionamento del C2 Wareed.

Configurazione

{
    "magic_value": "cdn",
    "domains": ["2.example.net"],
    "listener_port": "111",
    "sleep": 5,
    "jitter": 50,
    "lookup_delay": 5,
    "default_dns_server": "1.1.1.1"
}

• magic_value: un identificatore univoco utilizzato dal C2.
• domains: un array di nomi di dominio utilizzati dal C2 per le comunicazioni DNS.
• listener_port: il numero di porta su cui il team server DNS ascolta le connessioni in ingresso.
• sleep: il ritardo di base tra le richieste di attività.
• jitter: una percentuale che aggiunge casualità agli intervalli di sleep per mascherare i modelli di traffico.
• lookup_delay (disabilitato): il ritardo prima di eseguire una query DNS per ritmare le richieste DNS ed evitare il rilevamento.
• default_dns_server: il server DNS specificato per l'uso da parte dell'Agent se il DNS locale non risponde.

magic_value: la lunghezza deve essere uguale a 3.

Infrastruttura DNS

Configurazione DNS: Per far funzionare Wareed, è essenziale possedere un nome di dominio valido. Dopo aver acquisito un dominio, è necessario configurare due record DNS che puntino al Redirector:

1. Record A: deve essere configurato per puntare all'indirizzo IP del Redirector.
2. Record NS: deve puntare al record A precedentemente creato.

infrastruttura

Configurazione del Redirector: il redirector gestirà il traffico DNS in ingresso sulla porta 53 e lo reindirizzerà al team server. Per ottenere questo risultato, esegui i seguenti comandi iptables sulla macchina redirector (R1):

Accetta richieste DNS:

iptables -I INPUT -p udp -m udp --dport 53 -j ACCEPT

Questo comando configura il firewall per accettare pacchetti UDP in ingresso sulla porta 53, che è la porta standard per le richieste DNS.

Reindirizza il traffico DNS:

iptables -t nat -A PREROUTING -p udp --dport 53 -j DNAT --to-destination [TeamServer IP]:[teamserver listener port]

Sostituisci [TeamServer IP] con l'indirizzo IP effettivo del tuo team server e [teamserver listener port] con il numero di porta su cui il tuo team server è in ascolto. Questo comando dirige tutto il traffico in arrivo sulla porta 53 all'indirizzo IP e alla porta specificati del team server.

Esegui Wareed

Wareed Team Server

Per avviare il team server Wareed per la prima volta, devi specificare il file di configurazione insieme alla password del client e alla porta su cui il client ascolterà. Usa il seguente comando per eseguire il team server Wareed:

sudo ./WareedServer [Client Password] [Client Port Listener] [Path to configuration file]

• [Client Password]: sostituisci questo segnaposto con la password che i client utilizzeranno per autenticarsi con il server.
• [Client Port Listener]: sostituiscilo con il numero di porta su cui il team server ascolterà le connessioni in ingresso dal client.
• [Path to configuration file]: fornisci il percorso completo del file di configurazione iniziale. Nelle esecuzioni successive, questa configurazione verrà caricata dal database e non sarà necessario specificarla di nuovo.

Ather GUI Client

Per avviare il client GUI Ather, semplicemente:

./Ather

All'esecuzione del comando, apparirà una nuova finestra con una pagina di login.

Dettagli di accesso: nella pagina di login che appare:

• Username: inserisci il nome utente.
• Password: inserisci la password corrispondente a quella configurata nella riga di comando del team server.
• Port: inserisci il numero di porta su cui il team server è in ascolto per le connessioni, come configurato nella riga di comando del team server.
• IPAddress: inserisci l'indirizzo del team server.

Finestra principale di Wareed:

Genera un nuovo payload

Per generare un nuovo payload con il client GUI Ather, segui questi passaggi:

1. Vai alla generazione del payload:

   • Apri il client GUI.
   • Dalla barra dei menu, vai su Payload > Generate > Windows. Selezionando questa opzione si aprirà una nuova finestra dedicata alla generazione del payload.

2. Selezione del tipo di payload: Wareed consente la generazione di due tipi di payload: - EXE: un formato di file eseguibile, semplice per la distribuzione. - DLL: una libreria a collegamento dinamico che può essere utilizzata in vari modi. -

Opzioni payload DLL:

1. Export Function: crea una DLL con funzioni specifiche che attivano le funzionalità dell'agent all'esecuzione.
2. Process Attachment: produce una DLL che, quando collegata a un processo, attiva immediatamente il payload.

Sessione

Dopo aver generato un nuovo payload, una nuova sessione ospite viene automaticamente registrata presso il team server. Questo processo di registrazione garantisce che solo questa specifica sessione possa connettersi al team server. Utilizza un identificatore univoco e un "magic value" per autenticare e autorizzare la sessione. Questo meccanismo assicura una comunicazione sicura e controllata tra il payload appena generato e il team server.

Esegui il payload

Dopo aver eseguito il payload su una macchina Windows, inizierà a generare query DNS per registrarsi presso il team server. Questo processo di registrazione avviene in pochi secondi e in genere comporta la generazione di 3-5 query DNS.

Interazione

Per interagire con una sessione, fai clic con il tasto destro sulla sessione desiderata e seleziona "Interact" dal menu contestuale. Questa azione aprirà una nuova scheda con un'interfaccia a terminale. In questo terminale puoi eseguire i comandi

Comandi

Nota: il comando inject è semplice ma spesso viene rilevato dai controlli di sicurezza. Per aumentare la furtività, dovresti implementare la tua tecnica di iniezione. Modifica il codice di iniezione in Agent/Source/Core/Tasks/Modules/Injection.c. Ecco un modello di base per personalizzare la funzione di iniezione:

int Inject(unsigned char *ShellCode, int size, int ProcessID) {
	// Aggiungi qui la tua tecnica di iniezione.
	// Riceverai lo shellcode in [unsigned char *ShellCode] e la dimensione dello shellcode in [nt size]
	// e l'ID del processo in [int ProcessID].
 }

Pulisci il database

Per pulire il database, esegui semplicemente il seguente comando nel tuo terminale:

./Run clean

Azioni future

Anche se non ho piani immediati per continuare a investire tempo nel progetto Wareed, è stato un incredibile percorso di apprendimento e mi sono divertito molto. Sono entusiasta di annunciare che sto pianificando di lanciare un nuovo importante progetto, THAWD BAS. Per maggiori informazioni, visita Thawd.io.

Se hai competenze di sviluppo e sei interessato a contribuire a Wareed, ecco un paio di opportunità:

1. Sviluppare uno Stager Payload che utilizza DNS: c'è un fantastico progetto di @C5pider che fornisce un template di shellcode, un ottimo punto di partenza. Dai un'occhiata a Stardust su GitHub.
2. Aggiungere un COFF Loader e l'integrazione: integrare un loader COFF (Common Object File Format) nel framework Wareed può migliorare significativamente le sue capacità consentendo il caricamento dinamico e l'esecuzione di moduli binari, aumentando così la flessibilità operativa. Per gli sviluppatori che desiderano implementare questa funzionalità, risorse come Sector7 offrono preziose informazioni sul funzionamento dei loader COFF, e il progetto open-source CoffeeLdr di @C5pider fornisce un esempio pratico di implementazione.

Ringraziamenti speciali

Questo lavoro non sarebbe stato possibile senza il contributo di diversi eccezionali progetti open-source:

Havoc di - @C5pider

DNSStager di - @mohammadaskar2

Boomerang di - @NinjaParanoid

Socks5Server di earthquake

delete-self-poc di - @LloydLabs