Medusa

Medusa は、Python 3.8 と Python 2.7 の両方に対応したクロスプラットフォームエージェントです。

インストール

Medusa をインストールするには、リモートコンピュータに Mythic v3 がインストールされている必要があります。Mythic のインストール手順は Mythic プロジェクトページ で確認できます。

Mythic のインストールルートから、次のコマンドを実行します:

./mythic-cli install github https://github.com/MythicAgents/Medusa.git

インストール後、Mythic を再起動して新しいエージェントをビルドしてください。

RabbitMQ 設定メモ

Payload_Type/medusa/rabbitmq_config.json ファイルはテンプレートであり、ご利用の Mythic 環境と一致している必要があります。

• rabbitmq_password を Mythic の RABBITMQ_PASSWORD 値（通常は Mythic の .env から取得）に設定します。
• rabbitmq_host を RabbitMQ ホスト名/コンテナ名（docker-compose 構成では多くの場合 mythic_rabbitmq、ローカルバインドでは 127.0.0.1）に設定します。
• mythic_server_host を Mythic サーバーのホスト名/コンテナ名（docker-compose 構成では多くの場合 mythic_server、ローカルバインドでは 127.0.0.1）に設定します。

主な機能

• エージェント機能の動的ロード/アンロードにより、ディスク上でエージェントの機能が露出するのを抑止します。
• カスタムスクリプトで使用する Python モジュールをメモリ内にロードします。
• クロスプラットフォームの SOCKS5 プロキシ
• macOS クリップボードリーダー、スクリーンショット取得、TCC データベース解析
• アップロード/ダウンロードに対応したファイルブラウザ互換性
• 動的な Python コードの Eval()
• ベーシック認証プロキシ対応

コマンドマニュアル クイックリファレンス

ベースエージェントと同梱のコマンドはすべて Python 標準ライブラリを使用しているため、動作に追加パッケージは必要ありません。エージェントはコマンドをスレッドで実行するため、長時間かかるアップロードやダウンロードでもメインエージェントをブロックしません。

一般コマンド

macOS コマンド

Windows コマンド

Python バージョン

Medusa エージェントの両バージョンは、標準ライブラリで記述された AES256 HMAC 実装を使用しています（こちら から改変）。そのため、標準の Python インストール以外の追加依存関係は必要ありません。これにより、エージェントは Windows、Linux、macOS の各ホストで動作するはずです。なお、この暗号実装は大きなファイル（スクリーンショット、ダウンロードなど）の処理時に多少のオーバーヘッドが発生しますが、実用上問題ありません。

Py2 と Py3 のコマンド

Payload_Type/Medusa/agent_code ディレクトリ内には、py2 と py3 の両方のサフィックスが付いた base_agent ファイルがあります。同様に、個々の関数ファイルにも同じようなファイル拡張子があります。

これらは builder.py スクリプトによって読み取られ、まず Medusa エージェントの正しいベース Python バージョンが選択されます。次に builder.py は、選択された Python バージョンに固有のコマンドを含めます。コマンドが .py 拡張子のみを持つ場合は、Py2 と Py3 の間で代替コードが必要ないという前提で、そのファイルがデフォルトで使用されます。

スレッドジョブ

Medusa はジョブ実行に基本的なスレッド処理を使用します。ジョブが長時間実行される可能性がある場合、jobkill タスクからのシグナルに応答する「停止チェック」を実装できます。これは、以下のようなコードスニペットで実装できます:

if [task for task in self.taskings if task["task_id"] == task_id][0]["stopped"]:
  # Some job-specific tidy up
  return "Job stopped."

このハンドラは、download、upload、watch_dir、screenshot コマンド内で実装されています。

さらに、長時間実行するジョブが継続的な出力を提供する場合、ベースエージェントに含まれる sendTaskOutputUpdate 関数を使用して、タスク完了前に Mythic を更新できます。継続的な出力を提供し、jobkill で停止できるダミー関数を以下に示します。

def dummyFunction(self, task_id):
  while(True):
      # Check if we've got a stop signal.
      if [task for task in self.taskings if task["task_id"] == task_id][0]["stopped"]: return "Job stopped."

      # Send output back to Mythic
      self.sendTaskOutputUpdate(task_id, "We're still running")

      time.sleep(10)

サポートされている C2 プロファイル

Medusa は現在、http（AES256 HMAC 暗号化あり/なしの両方）と azure_blob の 2 つの C2 プロファイルをサポートしています。

HTTP プロファイル

HTTP プロファイルは、基本の非ダイナミックプロファイルを介して Mythic サーバーにコールバックします。タスクの取得には GET リクエスト、レスポンスの送信には POST リクエストを使用します。

謝辞

• ブラウザスクリプトとエージェントコードは、@its_a_feature_ と @djhohnstein から改変したものです。
• MacC2 および Cedric Owens によるこのブログ記事
• EmPyre および Chris Ross によるこのブログ記事。
• こちら で公開されている暗号の妙技。
• エージェントアイコンは flaticon.com から。