RedWarden - 柔軟なCobaltStrike Malleableリダイレクタ

(以前は proxy2's の malleable_redirector プラグインとして知られていました)

C2リダイレクタのIR耐性の水準を引き上げましょう。

RedWarden

レッドチームのビジネスでは、インシデントレスポンダーに対抗し、誤った方向へ導きながら、同時に耐性のあるC2リダイレクタネットワークを提供する方法について、いくつかの異なる素晴らしいアイデアが登場しています。

この作品は、それらの素晴らしいアイデアの多くを1つの軽量ユーティリティに統合し、そのルーツであるシンプルなHTTP(S)リバースプロキシとしてApache2を模倣しています。

Malleable C2プロファイルの理解、悪質なIPアドレスプールの知識、そして新しい検査および誤ルーティングロジックを容易に追加できる柔軟性を組み合わせることで、IR検査に対する巧妙な忌避手段が生まれました。

RedWarden

無効なインバウンドパケットがRedWardenに到達した場合、redirect、reset、または単にproxyで退避させることができます！

概要

このプログラムは、インバウンドC2 HTTPリクエストに対していくつかの制限を課し、Teamserverに転送するパケットとドロップするパケットを選択するHTTP/HTTPSリバースプロキシとして機能します。これは、Apache2ので義務付けられている.htaccessファイルの制限と同様です。

その辞書の各エントリは、インバウンドピアのIPアドレスの決定されたIP Geoメタデータに対してマッチさせる正規表現を受け入れます。 `country`プロパティの3つのエントリを使用して、指定された値のいずれかを持つリクエストを許可します。設定でそれを設定したら、`ipLookupHelper`ユーティリティ（2番目のパラメータを受け付ける）を使用して、別のIPアドレスがRedWardenのIP Geolocation判別器を通過するかどうかを確認できます。 ![ipLookupHelper IP Geo discriminator](https://assets.kitploit.com/production/public/readmes/4322/f67983439349d959f5ce0b08c45e53de3664d82796fd15273f3bb72f831ac7dc.png) 最後の行は、パケットがブロックされるか受け入れられるかを示します。以上です！IP Geolocationの制約を賢く安全に設定し、RedWardenのログでIP Geo関連のDROPエントリを注意深く確認し、C2トラフィックをきちんと整頓してください！ ### 改ざんされたBeaconリクエストの修復もしAWS LambdaやCloudFlareなどの中間システムをDomain Fronting/リダイレクターとして使用している場合、一部のパケットが合意されたMalleable Contractから逸脱したためにTeamserverに受け入れられない状況に遭遇したことがあるでしょう。それが改ざんされたり削除されたHTTPヘッダー、並び替えられたCookie、その他何であれ、おそらく多くの時間を無駄にしたことでしょう。 C2チャネル設定プロセスの問題や中間システムによる改ざんに対抗するため、RedWardenはBeaconパケットを修復する機能を提供します。これは、Malleable Profileがパケットに期待する内容をチェックし、プロファイルの要件に従って設定されたHTTPヘッダーを合意された値に復元することで実現します。以下のシンプルなプロファイルを考えてみましょう：``` http-get { set uri "/api/abc"; client { header "Accept-Encoding" "gzip, deflate"; metadata { base64url; netbios; base64url; parameter "auth"; } } ...

デフォルトでは、これらすべてのチェックが有効になっています。 `debug: True`を有効にすると、RedWardenが複雑な判断プロセスで実行する各ステップのログ行が大量にコンソールバッファにあふれます。リクエストとレスポンスの完全なボディを確認したい場合は、`debug`と`trace`をtrueに設定すると、ログの洪水に埋もれてしまいます！ ## FAQ **- このプログラムはMalleable Profileなしで実行できますか？** はい、可能です。ただし、リクエスト検査ロジックはオフになりますが、その他の機能（IP地理位置情報の適用、逆引きロジック、禁止IPリストなど）は正常に動作します。 **- このプログラムは他のC2フレームワーク（Mythic、Covenantなど）にも簡単に適応できますか？** 簡単にはできません。少し努力すれば可能です。以下で説明したように、このツールは他のC2への適応を困難にするように書かれています。しかし、時間と労力をかければ十分に可能です。 **- パケットがドロップされます。なぜですか？** `debug: True`と`trace: True`を有効にして、できるだけ多くのログを収集してみてください。その後、ログを確認して何が起こっているのか調査する必要があります。パケットはMalleable Profileで期待した通りに届いていますか？あるいは、ネットワーク経由で微妙な改ざんがあり、それがRedWarden（そしてTeamserverも）にパケットをドロップさせる原因になっている可能性はありませんか？ ## 既知の問題点 - インタラクティブスリープスループットにわずかなオーバーヘッドが追加される可能性があります。 - ProxyPassの処理ロジックは完全とはほど遠く、**非常に**バグが多いです（そして、なんと醜いことか！）。 - 設定ファイルの奇妙な形式は、RedWardenのパーサーを脱線させ、エラーを引き起こす可能性があります。これを回避する最も簡単な方法は、`example-config.yaml`をコピーして、代わりにそれを編集することです。 ## なぜこのコードはこんなにも工学的なクソなのか？このコードは**めちゃくちゃでっかいクソの山**です – それは認めます – そしてそれには正直な理由もあります。このプロジェクトは、実際のRed Teamのエンゲージメント中に90％開発されました。誰もが知っているように、こうしたエンゲージメントにはやるべきことが非常に多く、適切な複雑なツールを開発する時間はほとんど残されていません。ましてや、プロジェクトのセットアップにおけるこのプログラムの重要性は言うまでもありません。このツールは当初、Python2で書かれたシンプルなプロキシスクリプトとして始まり、その後プラグイン対応のプロキシへと進化し、`malleable_redirector`プラグインを受け入れました。それ以来、私は`proxy2`の後方互換性を維持しようと必死に努力してきました（かわいそうな私、まるでMicrosoftのようでした！）。これは私が作成した他のプラグインとの互換性と、元の目的を維持するためです。しかし、手放し、名前を変え、導入された悪いコードの臭いをすべて修正し始める時が来ました。とはいえ、問題を報告したり、プルリクエストを送信したりする際には、ある程度の思いやりを私に示してください。そして、判断するのではなく、助けようとしてください！ :-) ありがとうございます！ ## TODO - 脅威インテリジェンスフィードを悪意のある目的（例えば、IPに基づくセキュリティベンダーの検出など）に使用する可能性を調査する - MaxMind GeoIPデータベース/APIのサポートを追加する - JA3シグネチャの検出とブロッキング、およびnginx/Apache2/カスタムセットアップの偽装のサポートを実装する - 独自の裁量でステージングと通信プロセスを拒否する柔軟性を提供するために、ユニークなビーコントラッキングロジックを追加する - リダイレクト機能を提供する際に時間帯の制約を導入する（_営業時間内のみプロキシ_） - CONNECT/リレーにプロキシ認証と認可ロジックを追加する - モバイルユーザーを対象としたリダイレクトを追加する - 注入するカスタムHTTPヘッダー、または削除するヘッダーを定義するための設定オプションを追加する - ProxyPass基準を通過するリクエストに特定のHTTPヘッダーの存在を要求する設定オプションを追加する - Nmapのように、入力された単純な文字で出力ログの詳細度を制御できるインタラクティブインターフェース - Malleableプロファイルパーサーのロジックを[pyMalleableC2](https://github.com/Porchetta-Industries/pyMalleableC2)に書き換える。初めて独自のパーサーロジックを書き始めたとき、Githubにはそのようなツールキットはありませんでした。 - すべてのコードベースをリファクタリングする --- ### ☕ サポートをお願いします ☕ このプロジェクトや他のプロジェクトは、眠れぬ夜と**たくさんのハードワーク**の結果です。私の活動を気に入っていただき、常にコミュニティに還元していることに感謝していただけるなら、 [コーヒーをおごることを検討してください](https://github.com/sponsors/mgeeky) _（またはビールの方が良いかも）_ ありがとうの気持ちとして！ 💪 --- ## 著者``` Mariusz Banach / mgeeky, '19-'21 <mb [at] binary-offensive.com> (https://github.com/mgeeky)

RedWarden

人気

RedWarden - 柔軟なCobaltStrike Malleableリダイレクタ

概要

What to do with the request originating not conforming to Beacon, whitelisting or

ProxyPass inclusive statements:

- 'redirect' it to another host with (HTTP 301),

- 'reset' a TCP connection with connecting client

- 'proxy' the request, acting as a reverse-proxy against specified action_url

(may be dangerous if client fetches something it shouldn't supposed to see!)

Valid values: 'reset', 'redirect', 'proxy'.

Default: redirect

使用方法

使用例

This option repairs Beacon requests's header value by restoring to what was expected in Malleable C2 profile.

If RedWarden validates inbound request's HTTP headers, according to policy drop_malleable_without_expected_header_value:

"[IP: DROP, reason:6] HTTP request did not contain expected header value:"

and detects some header is missing or was overwritten along the wire, the request will be dropped.

We can relax this policy a bit however, since there are situations in which Cache systems (such as Cloudflare) could tamper with our

requests thus breaking Malleable contracts. What we can do is to specify list of headers, that should be overwritten back to their values

defined in provided Malleable profile.

So for example, if our profile expects:

header "Accept-Encoding" "gzip, deflate";

but we receive a request having following header set instead:

Accept-Encoding: gzip

Because it was tampered along the wire by some of the interim systems (such as web-proxies or caches), we can

detect that and set that header's value back to what was expected in Malleable profile.

In order to protect Accept-Encoding header, as an example, the following configuration could be used:

repair_these_headers:

- Accept-Encoding

Default:

出力例

ドロップポリシーの微調整

Fine-grained requests dropping policy - lets you decide which checks

you want to have enforced and which to skip by setting them to False

Default: all checks enabled

[IP: ALLOW, reason:0] Request conforms ProxyPass entry (url="..." host="..."). Passing request to specified host

[IP: ALLOW, reason:2] Peer's IP was added dynamically to a whitelist based on a number of allowed requests

[IP: DROP, reason:1] inbound User-Agent differs from the one defined in C2 profile.

[IP: DROP, reason:2] HTTP header name contained banned word

[IP: DROP, reason:3] HTTP header value contained banned word:

[IP: DROP, reason:4b] peer's reverse-IP lookup contained banned word

[IP: DROP, reason:4e] Peer's IP geolocation metadata contained banned keyword! Peer banned in generic fashion.

[IP: DROP, reason:5] HTTP request did not contain expected header

[IP: DROP, reason:6] HTTP request did not contain expected header value:

[IP: DROP, reason:7] HTTP request did not contain expected (metadata|id|output) section header:

[IP: DROP, reason:8] HTTP request was expected to contain (metadata|id|output) section with parameter in URI:

[IP: DROP, reason:9] Did not found append pattern:

[IP: DROP, reason:10] Did not found append pattern:

[IP: DROP, reason:11] Requested URI does not aligns any of Malleable defined variants:

[IP: DROP, reason:12] HTTP request was expected to contain <> section with URI-append containing prepend/append fragments