notRDP

ターゲットユーザーには見えない、目に見えない代替Windowsデスクトップを作成し、ブラウザベースのビューアにストリーミングし、RDPのように完全なマウス/キーボード操作をサポートするHavoc C2プラグイン。

仕組み

1. CreateDesktopW を介して隠しデスクトップを作成し、そこで explorer.exe を起動する
2. PrintWindow コンポジットを使用して隠しデスクトップをキャプチャし、JPEGフレームをストリーミングする
3. PostMessage を介して隠しデスクトップのウィンドウに直接マウス/キーボード入力を注入する
4. 完全な入力キャプチャを備えたブラウザビューアでストリームをレンダリングする

前提条件

クロスコンパイラ: x86_64-w64-mingw32-gcc (およびオプションでx86用の i686-w64-mingw32-gcc)

Ubuntu / Debian / Kali へのインストール

sudo apt update && sudo apt install gcc-mingw-w64-x86-64 gcc-mingw-w64-i686

Arch へのインストール

sudo pacman -S mingw-w64-gcc

Fedora へのインストール

sudo dnf install mingw64-gcc mingw32-gcc

コンパイル

make        # x64 only
make both   # x64 + x86
make clean  # remove .o files

手動 (Makeを使用しない場合)

x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o screenshot.x64.o screenshot.c
x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o screeninput.x64.o screeninput.c
x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o notrdp_mgr.x64.o notrdp_mgr.c

インストール

1. BOFをコンパイルする
2. Havocクライアントで: Scripts Manager > Load Script > notrdp.py

使用方法

notrdp [port] [quality]   # Start hidden desktop session
notrdp-close              # Close session

notrdpuser プラグイン

隠しデスクトップを作成する代わりに、ユーザーの実際のデスクトップセッションをキャプチャするバリアントプラグイン。スクリーンショットBOFに埋め込まれたGetAsyncKeyStateポーリングによる、opsecに配慮したキーストロークキャプチャを含む。同じリポジトリ内でnotrdpuser.zipとしてパッケージ化されており、notrdpuser.pyを同じ方法で展開してロードする。

notrdpuser [port] [quality]   # Start user desktop streaming + keystroke capture
notrdpuser-close              # Close session