USP

Caratteristiche

Questo programma Go stabilisce una persistenza su un sistema Linux creando una regola udev che attiva l'esecuzione di un payload specificato (binario o script). Offre due opzioni di attivazione:

• Persistenza USB: il payload viene eseguito ogni volta che viene inserito un dispositivo USB.
• Persistenza all'avvio: il payload viene eseguito durante l'avvio del sistema, sfruttando il dispositivo /dev/random.

Inoltre, fornisce un'opzione di pulizia per rimuovere la persistenza stabilita.

Utilizzo

1. Compila lo script Go: go build -o usp

2. Esegui lo script con privilegi di root (sudo): sudo ./usp

Puoi personalizzare il comportamento utilizzando i seguenti flag:

• -f <filename>: Specifica il percorso in cui verrà scritto il payload (default: /usr/local/bin/persistence).
• -p <payload>: Specifica il percorso del file payload (binario o script) che verrà eseguito. Questo è un flag obbligatorio.
• -r <rulesname>: Specifica il nome del file delle regole udev (default: 75-persistence.rules).
• -usb: Abilita la persistenza USB.
• -random: Abilita la persistenza all'avvio utilizzando /dev/random.
• -c: Pulisci la persistenza, rimuovendo il file payload e la regola udev.

Esempio

• Quanto segue utilizza il metodo di persistenza USB per eseguire example.sh ogni volta che un dispositivo USB viene collegato.

sudo ./usp -p ./example.sh 

• Il seguente utilizza il metodo di persistenza "random" per eseguire my_backdoor_binary ogni volta che /dev/random viene caricato (ad esempio all'avvio). Viene installato in /bin/ripgrep. (Mascherandosi come binario ripgrep). Inoltre, il file delle regole viene creato in /etc/udev/rules.d/123-notsektchy.rules

sudo ./usp -random  -f /bin/ripgrep -p my_backdoor_binary -r 123-notsketchy.rules

Riferimenti e Letture Aggiuntive

• https://www.aon.com/en/insights/cyber-labs/unveiling-sedexp
• https://ch4ik0.github.io/en/posts/leveraging-Linux-udev-for-persistence/
• https://opensource.com/article/18/11/udev