Sticky Keys Hunter

Questo script bash POC testa per backdoor di tasti permanenti e utilman. Lo script si collegherà a un server RDP, invierà entrambi i trigger di tasti permanenti e utilman e catturerà lo schermo del risultato.

Questo script è stato scritto per dimostrare una teoria che avevo su come rilevare queste backdoor in modo blackbox, e non è stato aggiornato da quando ho scritto il mio post sul blog, Hunting Sticky Keys Backdoors. Tuttavia, @DennisMald e @notmedic hanno approfondito questa ricerca e hanno rilasciato lo strumento Sticky Keys Slayer durante la loro presentazione al DEF CON 24, Sticky Keys To The Kingdom. Dai un'occhiata al loro strumento, poiché ha molti miglioramenti rispetto a questo script POC.

Come funziona?

1. Si connette a RDP usando rdesktop
2. Invia shift 5 volte usando xdotool per attivare backdoor sethc.exe
3. Invia Windows+u usando xdotool per attivare backdoor utilman.exe
4. Cattura lo schermo
5. Termina la connessione RDP

Prerequisiti

1. Host Linux con un server X in esecuzione
2. I seguenti pacchetti: xdotool imagemagick rdesktop bc 3. Installazione su Debian/Ubuntu/Kali: apt-get install xdotool imagemagick rdesktop bc
3. Lo schermo non può essere bloccato durante questo processo, altrimenti tutti gli screenshot risulteranno neri

Utilizzo

Scansiona un singolo host: ./stickyKeysHunter.sh 192.168.1.10

Scansiona più host: for i in $(cat list.txt); do ./stickyKeysHunter.sh "${i}"; done

TODO

1. Analizzare automaticamente gli screenshot con OCR o elaborazione delle immagini per identificare le backdoor.
2. Accelerare/multithread lo strumento.