F31: Nascondere Kali Linux

F31 è uno script bash che rafforza la tua Kali Linux e ti permette di minimizzare il rumore nell'aria. Utile per pentester o operatori Red Team dove è importante avere un impatto minimo sull'infrastruttura per evitare problemi di prestazioni di rete.

Lo strumento non ti garantisce una completa evasione dal SOC, poiché le infrastrutture di rete sono diverse, ogni caso di analisi di sicurezza è unico. L'obiettivo principale di F31 è minimizzare il rumore nell'aria.

Disclaimer

Questo articolo e strumento è di natura introduttiva ed è destinato a professionisti della sicurezza che conducono test sotto contratto. La distribuzione di malware, l'interruzione di sistemi e la violazione del segreto della corrispondenza saranno perseguiti. L'autore non è responsabile per eventuali danni causati da questo strumento.

Meccanica

Lo script esegue le seguenti operazioni:

1. Installazione degli strumenti necessari. iptables per la configurazione del FW, tc dal pacchetto iproute2 per la modellazione del traffico e macchanger per il cambio del MAC
2. Cambio dell'hostname. Sì, cambiare l'hostname su Kali può sembrare una cosa banale, ma l'hostname predefinito di Kali è uno dei grandi trigger. Dovresti sempre cambiare l'hostname predefinito con un altro hostname
3. Disabilitazione della trasmissione dell'hostname via DHCP nella configurazione di Network Manager "Wired Connection". Nota che F31 fa riferimento al file /etc/NetworkManager/system-connections/Wired\ connection\ 1
4. Aumento del TTL e offset TTL +1 per aggirare il tracciamento dei pacchetti durante un attacco MITM
5. Disabilitazione del client NTP
6. Configurazione del firewall. Consentire connessioni stabilite e concatenate, bloccare connessioni non valide, limitare il traffico ICMP, bloccare valori TCP MSS inaspettati
7. Disabilitazione di ICMP Redirect. I sistemi di sicurezza IDS/IPS possono attivarsi su messaggi ICMP Redirect, che possono esporre l'attaccante.
8. Randomizzazione dell'indirizzo MAC. Un classico del genere.
9. Traffic Shaping. Minimizza il rumore per un funzionamento accurato degli scanner in modo da non sovraccaricare le apparecchiature di rete. Limita a 30Kbit/s, 800 ms di latenza

Come usarlo

È abbastanza semplice, clona il repository, dai i permessi di esecuzione agli script bash.

caster@kali:~$ git clone https://github.com/wearecaster/F31
caster@kali:~$ cd F31/
caster@kali:~/F31$ chmod +x F31.sh reset.sh

F31 richiede privilegi di root per l'esecuzione

caster@kali:~$ sudo bash F31.sh
███████ ██████   ██ 
██           ██ ███ 
█████    █████   ██ 
██           ██  ██ 
██      ██████   ██ 
                    
F31: Tool for hiding Kali Linux on the network
Author: Caster, @wearecaster, <[email protected]>
Version: 1.0.0
For instructions and an example of how to use it, visit: https://github.com/wearecaster/F31
Usage: F31.sh --interface <interface> --new-hostname <hostname> [--noise-reduction]

Options:
  --interface       Specify the network interface to hide
  --new-hostname    Specify the new hostname for the system
  --noise-reduction Enable traffic shaping for noise reduction (optional)

Lo strumento si aspetterà due argomenti per input. Questi sono l'interfaccia di sistema e il nuovo hostname che l'utente Kali vorrà.

L'argomento responsabile dell'attivazione del traffic shaping è opzionale. Potrebbe non essere sempre necessario per l'attaccante. E il traffic shaping influenzerà la velocità di download dei file, ecc. in futuro. Usa la riduzione del rumore con saggezza.

caster@kali:~/F31$ sudo bash F31.sh --interface eth0 --new-hostname ubuntu --noise-reduction
███████ ██████   ██ 
██           ██ ███ 
█████    █████   ██ 
██           ██  ██ 
██      ██████   ██ 
                    
F31: Tool for hiding Kali Linux on the network
Author: Caster, @wearecaster, <[email protected]>
Version: 1.0.0
For instructions and an example of how to use it, visit: https://github.com/wearecaster/F31
[+] Tools are already installed.

[+] Changing hostname
[*] Hostname changed to ubuntu successfully.

[+] Enabling hostname transfer via DHCP
[*] Hostname through DHCP disabled successfully.

[+] Disabling NTP client
[*] NTP client shut down successfully.

[+] Increasing and shifting TTL (TTL=80)
[*] TTL values adjusted successfully.

[+] Configuring firewall
[*] Allowing established and chained connections, blocking invalid connections, restricting ICMP traffic, blocking unexpected TCP MSS values
[*] Firewall configuration successfully.

[+] Disabling ICMP Redirect
[*] ICMP Redirects disabled successfully.

[+] Changing MAC
[*] Randomize MAC configured successfully.

[+] Limit data rate to 30 kbit/s and latency 600ms to minimize noise in L2/L3 scanning.
[+] WARNING: This change will severely affect the speed of file downloads. Use this shaping exactly before scanning
[+] If necessary, adjust this value yourself
[*] Traffic shaping configured successfully.
[*] Script executed successfully.

Ripristinare le modifiche

Ho preparato uno script speciale per annullare tutte le impostazioni apportate.

caster@kali:~/F31$ sudo bash reset.sh --interface eth0 --old-hostname kali
███████ ██████   ██ 
██           ██ ███ 
█████    █████   ██ 
██           ██  ██ 
██      ██████   ██ 
                    
F31: Tool for hiding Kali Linux on the network (Reset script)
Author: Caster, @wearecaster, <[email protected]>
Version: 1.0.0
For instructions and an example of how to use it, visit: https://github.com/wearecaster/F31

[+] Restoring MAC

[+] Enabling ICMP Redirect

[+] Disabling NTP client
[*] NTP client disabled successfully.

[+] Restoring firewall configuration

[+] Enabling hostname transfer via DHCP

[+] Resetting TTL (TTL=64)

[+] Restoring hostname

[+] Removing traffic shaping (noise reduction)
[+] Traffic shaping removed
[*] Reset script executed successfully

Conclusione

Questo strumento non è una panacea, devi capire cosa stai facendo nell'infrastruttura ed evitare il rischio il più possibile.