jackofmosttrades/blueboxToolkit automatizzato per gli exploit CVE-2015-6095 e CVE-2016-0049
Nota: questo repository fa riferimento a repository esterni (noti come sottomoduli Git). Dopo aver clonato questo repository, assicurati di eseguire i seguenti comandi per clonare i sottomoduli:
git submodule init
git submodule update
BlueBox è una raccolta di script e configurazioni per lo sfruttamento automatizzato di MS15-122 e MS16-014, (vedi anche CVE-2015-6095 e CVE-2016-0049).
Ulteriori informazioni su questa vulnerabilità sono disponibili nella presentazione e nel whitepaper BlackHat EU 2015 realizzati su questo argomento, o nel talk aggiornato presentato al BSides Seattle 2015.
Questo exploit consente a un attaccante di aggirare la schermata di accesso dei computer Windows che utilizzano l'autenticazione di dominio. Può essere utilizzato per leggere i dati di un utente, aggirando le protezioni di crittografia completa del disco, per attaccare rapidamente macchine incustodite al fine di installare un toolkit di accesso remoto o altro malware, e può essere usato per fare entrambe le cose senza portare la macchina offline.
Per una rapida dimostrazione, ho registrato i seguenti video:
BlueBox: attacco opportunistico a laptop
BlueBox: attacco opportunistico a laptop
BlueBox: attacco zero-downtime
Questo repository include alcuni script di inizializzazione e file di configurazione per la distribuzione di questi script su un sistema basato su Debian (la demo sopra menzionata gira su Raspbian, una distribuzione Debian per Raspberry Pi). Tuttavia, non c'è alcuna particolare necessità di eseguire questi strumenti su quella piattaforma; potresti altrettanto facilmente configurare un normale laptop e un sistema operativo arbitrario per eseguire questi script Python e un server DHCP.
Gli script nella sottodirectory init-scripts possono essere utilizzati per avviare i server dannosi all'avvio; questo è particolarmente utile quando si utilizza un dispositivo dedicato headless (come il Raspberry Pi). Puoi inserire questi script in /etc/init.d ed eseguire
update-rc.d evil-server-{dns,kdc,ldap,netbios} defaults
Questo repository contiene configurazioni per due stili di distribuzione: come semplice strumento di bypass della schermata di blocco, o come strumento di attacco zero-downtime. Ulteriori descrizioni e istruzioni di configurazione sono riportate di seguito.
L'uso previsto di questa configurazione è ottenere opportunisticamente l'accesso a una workstation client, come un laptop incustodito. La distribuzione richiede un server DHCP indipendente; un file di configurazione di esempio per il ISC DHCP Server è disponibile. Diversi server dannosi fanno riferimento in modo hardcoded all'indirizzo IP 192.168.0.1 della macchina corrente, quindi è inclusa una configurazione di rete di esempio che assegna a eth0 questo IP statico.
Anche se non necessario, puoi anche scegliere di installare un server FTP/HTTP sulla macchina host per servire un payload dannoso che l'attaccante può eseguire sulla macchina vittima.
Questa configurazione richiede due dispositivi ethernet fisici e consente al dispositivo di attacco di funzionare come man-in-the-middle. Questa configurazione unisce in bridge i due dispositivi ethernet per consentire al traffico di passare attraverso senza modifiche, rendendo il dispositivo trasparente sulla rete. Tuttavia, la sua configurazione netfilter reindirizza il traffico Kerberos verso localhost (cioè verso il server dannoso), il che consente a un attaccante di aggirare la schermata di accesso di un server live.
Per distribuire questa configurazione, i tuoi dispositivi ethernet dovrebbero essere configurati per essere messi in bridge. La configurazione richiede l'uso di netfilter sull'interfaccia bridge, quindi devi aggiungere il modulo br_netfilter a /etc/modules. Per configurare ebtables e iptables per intercettare il traffico Kerberos, dovresti inserire la configurazione ebtables nella directory /etc/network/if-up.d/, lo script iptables nella directory /etc/network/if-pre-up.d/ e il file iptables.up.rules in /etc.
Questa configurazione intercetta anche il traffico HTTP destinato a 10.254.254.254 e lo reindirizza a un server locale, che può essere utilizzato come un modo conveniente per scaricare un payload dannoso sulla macchina vittima. Se si procede in questo modo, la macchina dovrebbe avere anche una sorta di webserver (ad es. apache2) installato.