reveng007/sharpgmailc2「Our Friendly Gmail」はサーバーとして機能し、インプラントはSMTP経由でデータを外部送信（exfiltrate）し、IMAPプロトコル経由でC2（Gmail）からコマンドを読み取ります。
私たちの親しみやすいGmailがサーバーとして機能し、インプラントはSMTPを介してデータを外部に流出させ、IMAPプロトコルを介してC2(Gmail)からコマンドを読み取ります。
このプロジェクトは、_2022年11月29日_以降、Windows Defenderに対して機能しません。このツールは現在、MS Windowsによって
virtool:msil/ "shgmailz." a!mtbとしてシグネチャ登録されています。ただし、近い将来このプロジェクトを、SharpGmailC2V2という新しいバージョンにアップグレードする計画があります。
🚫 [免責事項]: このプロジェクトの使用は、教育/テスト目的のみを対象としています。未承認のマシンでの使用は固く禁止されています。違法/悪意のある意図で使用している人物が発見された場合、リポジトリの作者は一切の責任を負いません。
中間の送信者および受信者となるGmailアカウントを設定する際は、この(リンク)[https://support.cloudhq.net/how-to-check-if-imap-is-enabled-in-gmail-or-google-apps-account/]の手順に従ってPOP DownloadとIMAP Accessを有効にしてください。
IMAPとPOPを有効にしたら、この記事ここの手順に従ってアプリパスワードを生成してください。SecurityにApp Password設定が表示されない場合は、先にGmailアカウントの2FA認証を有効にしてください。
コードをコンパイルする際は、emailToAddress、password、emailToAddressを設定する行を更新してください。passwordの値には、前の手順で生成したApp Passwordを設定する必要があります。また、emailToAddressとemailToAddressの値は同じでも構わないことに注意してください。
EAGetMailライブラリ。CosturaおよびCostura Fody。これにより実際にインプラントは肥大化しましたが、この場合はインプラントは今のところFUDなので、あまり重要ではないと思います:)。Unreadモードであることを確認してください(そうでない場合は未読としてマークしてください)。インプラントはLast/latest Unreadメールをスキャンし、"in:"で始まるかどうかをチェックするためです。"in:"で始まる場合、その特定のテキスト本文が正当なコマンドであると理解し、そのメールをReadとしてマークします。この処理は最後まで続きます。スニペットはこちら:
capaは私のクライアントインプラントの機能をまったく検出できないようです。しかし、確実に疑念を生じさせ、マルウェアアナリストにバイナリをもう一度見直させることになります。
オペレーターがGmailを介して送信したコマンドと、外部に流出/送信される情報はすべて、GmailのTLS暗号化によって暗号化されていることがわかります。さらに、(マークされた)IPアドレスはまったく疑わしくなく、言い換えればOPSEC上安全です。
SharpGmailC2は、防御側がSharpGmailC2や、Gmailのメールプロトコルをコマンド&コントロールに利用する他のプロセスを検出するのに役立つ、以下の一般的な動作を生成する可能性があります:
imap.google.comへのDNSコールと、1e100.net.などの他のGoogleドメインへのネットワーク接続が異常に増加する。# Monitor high network connections from a particular processID
Channel=Microsoft-Windows-Sysmon
(EventID=3 OR EventID=22) (3=Network Connection, 22=DNS)
(DestinationHostname=*.1e100.net OR QueryName=*.gmail.com)
.dllまたは.exe)からのpowershellプロセスの呼び出し。Channel=Microsoft-Windows-Sysmon
EventID=1
CommandLine=powershell.exe
(ParentImage=*.exe OR ParentImage=*.dll)