Phirautee

Un virus crittografico proof of concept per diffondere la consapevolezza tra gli utenti sugli attacchi e le implicazioni dei ransomware. Phirautee è scritto puramente in PowerShell e non richiede librerie di terze parti. Questo strumento ruba le informazioni, tiene in ostaggio i dati di un'organizzazione per richiedere pagamenti o crittografa/elimina definitivamente i dati dell'organizzazione.

Phirautee è un ransomware Living off the Land (LotL), il che significa che utilizza comandi e operazioni PowerShell legittimi per agire contro il sistema operativo.

Screenshot

Finestra pop-up del riscatto:

Sfondo del desktop dopo un'infezione riuscita:

Presentazione al DEF CON

https://speakerdeck.com/viralmaniar/phirautee-defcon28-writing-ransomware-using-living-off-the-land-lotl-tactics

Disclaimer legale

Questo progetto non deve essere utilizzato per scopi illegali o per hackerare sistemi di cui non si ha il permesso. È strettamente a scopo educativo e per consentire alle persone di sperimentare.

Qualsiasi tentativo di hacking o test senza autorizzazione scritta del proprietario del sistema informatico è illegale.

Se hai subito una violazione o sei stato preso di mira da un ransomware e hai trovato tecniche o strumenti illustrati in questa presentazione simili, ciò non incrimina in alcun modo il mio coinvolgimento, né implica alcun legame tra me e gli aggressori.

Gli strumenti e le tecniche rimangono universali e i penetration tester e i consulenti di sicurezza li utilizzano spesso durante gli incarichi.

Il progetto Phirautee non deve essere utilizzato per scopi illegali. È strettamente a scopo di istruzione e ricerca e per consentire alle persone di sperimentare.

DEF CON 28 Safe Mode

Negli ultimi anni, i ransomware sono diventati dilaganti e le organizzazioni di tutto il mondo vengono prese di mira, causando danni e interruzioni. Come tutti sappiamo, il panorama delle minacce sta cambiando rapidamente e sentiamo parlare del trambusto delle infezioni da ransomware negli uffici o ne leggiamo sulle notizie. Ti sei mai chiesto come gli attori malintenzionati creano i ransomware? Quale livello di sofisticazione e comprensione è necessario per prendere di mira un'organizzazione? In questa demo, utilizzeremo i comandi nativi di Windows per creare un ransomware e colpire un host tramite phishing. Presentiamo Phirautee, un virus crittografico proof of concept per diffondere la consapevolezza tra gli utenti sugli attacchi e le implicazioni dei ransomware. Phirautee è scritto puramente in PowerShell e non richiede librerie di terze parti. Questo strumento ruba le informazioni, tiene in ostaggio i dati di un'organizzazione per richiedere pagamenti o crittografa/elimina definitivamente i dati dell'organizzazione. Lo strumento utilizza la crittografia a chiave pubblica per crittografare i dati sul disco. Prima della crittografia, esfiltra i file dalla rete verso l'aggressore. Una volta che i file sono crittografati ed esfiltrati, i file originali vengono eliminati definitivamente dall'host e quindi lo strumento richiede un riscatto. Il riscatto viene richiesto utilizzando criptovalute per i pagamenti, in modo che le transazioni siano più difficili da tracciare per le forze dell'ordine. Durante la dimostrazione di Phirautee, vedrai una catena di attacco completa, ovvero ricevere un attacco ransomware tramite email di phishing e come i file vengono crittografati sui sistemi compromessi. Verrà fornita una panoramica dettagliata del codice sorgente per comprendere come gli hacker utilizzano metodi semplici per creare qualcosa di pericoloso. Concluderò la demo con diversi meccanismi di difesa eseguendo un'analisi forense su Phirautee utilizzando strumenti pubblicamente disponibili.

Introduzione a Phirautee

Phirautee è uno strumento ransomware proof of concept scritto puramente in PowerShell.
Utilizza comandi Living off the Land (LotL) per agire contro il sistema operativo e crittografare i file sulla macchina.
Questo strumento può essere utilizzato durante test di penetrazione dell'infrastruttura interna o durante esercitazioni red team per convalidare la risposta del Blue Team/SOC agli attacchi ransomware.
Utilizza la crittografia a chiave pubblica per crittografare i contenuti utente ed esfiltra file di grandi dimensioni tramite Google Drive.
In caso di attacco riuscito, il ransomware richiede un pagamento di 0.10 BTC (~1k USD).
Rilevamento:
- L'estensione dei file crittografati viene modificata in ".phirautee"
- Lo sfondo del desktop dell'host compromesso viene sostituito con lo sfondo di Phirautee
- Il desktop conterrà il file Phirautee.txt

Configurazione dell'attacco Phirautee

Server di phishing e dominio per prendere di mira un'organizzazione.
Server email per inviare documenti dannosi come allegato all'utente target.
File con macro incorporate come allegato per l'utente, che scarica il ransomware dal server remoto sulla macchina target e lo esegue in memoria.
Modificare un paio di parametri nel file ransomware per utilizzarlo per il proprio caso d'uso.
Per l'esfiltrazione dei dati:
- Account Gmail usa e getta
- Accesso API Gmail a un Google Drive usa e getta
- Configurare un'applicazione web su Google

Passaggi per configurare l'esfiltrazione dei dati tramite Google Drive

Google offre un'API REST a cui è possibile accedere tramite PowerShell per eseguire operazioni sui file come caricamento, download ed eliminazione. L'API REST consente di sfruttare l'archiviazione di Google Drive dalla propria applicazione.