ランサムウェアの攻撃と影響についてユーザーの認識を広めるための概念実証暗号ウイルス。Phirauteeは純粋にPowerShellで記述されており、サードパーティのライブラリを一切必要としません。このツールは情報を盗み、組織のデータを身代金のための人質として保持するか、組織のデータを永久に暗号化/削除します。
コンセプト実証型暗号ウイルスで、ランサムウェアの攻撃とその影響についてユーザーの認識を広めるためのものです。PhirauteeはPure PowerShellで記述されており、サードパーティのライブラリは一切必要ありません。このツールは情報を盗み出し、組織のデータを身代金のための人質として保持するか、組織のデータを永久に暗号化・削除します。
PhirauteeはLiving off the Land（LotL）ランサムウェアであり、正規のPowerShellコマンドと操作を利用してオペレーティングシステムに対して動作します。
このプロジェクトは、不正目的や許可のないシステムへのハッキングに使用してはなりません。教育目的および実験目的に厳格に限定されています。
ここ数年、ランサムウェアは猛威を振るい、世界中の組織が標的となり、損害と混乱を引き起こしています。脅威の状況は急速に変化しており、職場でのランサムウェア感染に関する騒ぎを耳にしたり、ニュースで読んだりします。脅威アクターがどのようにランサムウェアを作成しているのか、組織を標的にするためにどの程度の洗練度と理解が必要なのか、考えたことはありますか？このデモでは、ネイティブのWindowsコマンドを利用してランサムウェアを構築し、フィッシングを介してホストを標的にします。Phirauteeを紹介します。これはランサムウェアの攻撃とその影響についてユーザーの認識を広めるための概念実証型暗号ウイルスです。PhirauteeはPure PowerShellで記述されており、サードパーティのライブラリは一切必要ありません。このツールは情報を盗み出し、組織のデータを身代金のための人質として保持するか、組織のデータを永久に暗号化・削除します。このツールは公開鍵暗号方式を使用してディスク上のデータを暗号化します。暗号化前に、ネットワークから攻撃者にファイルを不正に流出させます。ファイルが暗号化され流出した後、元のファイルはホストから完全に削除され、ツールは身代金を要求します。身代金は仮想通貨での支払いが要求されるため、取引は法執行機関にとって追跡がより困難になります。Phirauteeのデモンストレーションでは、フィッシングメールによるランサムウェア攻撃の受信から、侵害されたシステム上のファイルがどのように暗号化されるかまでの完全な攻撃チェーンをご覧いただけます。ハッカーが単純な方法を利用して危険なものを作成する方法を理解するために、ソースコードの詳細なウォークスルーも提供されます。デモの最後には、公開ツールを使用してPhirauteeのフォレンジック分析を行うことで、いくつかの防御メカニズムを示します。
Phirauteeは、Pure PowerShellで記述されたコンセプト実証型ランサムウェアツールです。
Living off the Land（LotL）コマンドを使用して、オペレーティングシステムに対して動作し、マシン上のファイルを暗号化します。
このツールは、内部インフラストラクチャのペネトレーションテストや、レッドチーム演習中にブルーチーム/SOCのランサム攻撃への対応を検証するために使用できます。
公開鍵暗号方式を使用してユーザーのコンテンツを暗号化し、Google Driveを介して大容量ファイルを外部に流出させます。
攻撃が成功すると、ランサムウェアは0.10 BTC（約1,000 USD）の支払いを要求します。
検出:
組織を標的にするためのフィッシングサーバーとドメイン。
標的ユーザーに悪意のある文書を添付ファイルとして送信するメールサーバー。
ユーザーに添付ファイルとしてマクロ埋め込みファイルを送信し、リモートサーバーからランサムウェアを標的マシンにプルし、メモリ内で実行します。
ランサムウェアファイル内のいくつかのパラメータを変更して、自分のユースケースに利用します。
データ流出用:
GoogleはPowerShellを介してアクセスできるREST APIを提供しており、ファイルのアップロード、ダウンロード、削除などの操作を実行できます。REST APIを使用すると、アプリ内からGoogle Driveストレージを活用できます。
以下の手順に従って、phirauteeランサムウェアを介した流出を実行してください。
ステップ1: https://console.cloud.google.com/cloud-resource-manager にアクセスします。
ステップ2: 「CREATE PROJECT」をクリックします。
ステップ3: プロジェクトが作成されたら、「ENABLE APIS AND SERVICES」をクリックしてGoogle Drive APIを有効にします。
ステップ4: AOIライブラリ内でGoogle Drive関連のAPIを見つけます。
ステップ5: 見つけたらAPIを有効にします。これにより、Google Driveを介したさまざまな操作へのアクセスが許可されます。
ステップ6: APIアクセスを有効にしたら、「create credentials」ボタンをクリックします。
ステップ6: 次に、OAuthクライアントIDの認証情報を作成します。
ステップ7: 製品タイプとして「Web Application」を選択し、承認済みのリダイレクトURIを https://developers.google.com/oauthplayground に設定します。
ステップ8: クライアントIDとシークレットを保存します。保存しなかった場合でも、APIとサービス内の認証情報からいつでもアクセスできます。次に、https://developers.google.com/oauthplayground にアクセスします。
ステップ9: 歯車アイコンをクリックし、「Use your own OAuth credentials」にチェックを入れます。
ステップ10: https://www.googleapis.com/auth/drive APIを認証し、「Exchange authorization code for tokens」をクリックします。応答で200 OKが返されるはずです。リフレッシュアクセストークンを必ず保存してください。これは、Phirauteeで使い捨てのGoogleアカウントに大容量ファイルをアップロードするために必要です。
Phirauteeは2つの固有の対称鍵を使用します
秘密鍵は、暗号化されたzipファイルとしてPokemailに送信されます。
PhirauteeはPokemailサービスを使用して、ランダムな場所ベースのメールアドレスを作成し、攻撃インフラを配布します。
感染マシン上のファイルを暗号化するために2048ビットRSA鍵を使用します。
証明書の秘密鍵は、事前共有秘密鍵（対称鍵）を使用して攻撃者に送信されます。
ファイルパス:
C:\temp\cert.cer
c:\temp\sys.txt
c:\temp\backup.zip
c:\temp\sys1.txt
c:\temp\steal.zip
C:\users\$env:USERNAME\PhirauteeBackground-3.jpg
MD5:
77EA9D33D144072F7B35C10691124D16
4E123FF3A7833F0C8AC6F749D337444D
流出に使用されたドメイン:
https://smtp.pokemail.net
https://www.googleapis.com
https://accounts.google.com
https://raw.githubusercontent.com
レジストリファイル:
HKCU:\Control Panel\Desktop
ネットワークのセグメンテーションと横方向の移動の検出。最小権限の原則に従い、機密サーバーへのアクセスを制限します。重要なポータルにはMFAを使用します。
標準的なドメインユーザーに対してPowerShellを無効にし、アプリケーションのホワイトリストを実行します。
頻繁なネットワーク全体のバックアップ（可能であればオフライン）。
パッチを適用し、脆弱性管理プログラムを実施します。
専用のインシデント対応チームを設置し、ランサムウェアイベントに対する計画を策定します。
優れたIDS/IPS/EDR/AV/CASB製品に投資します。
事前に承認された攻撃的演習を通じて、防御ツールとテクノロジーの有効性を検証します。
従業員向けのフィッシングおよびユーザー教育トレーニングセッションを開催します。
身代金を支払う必要がある場合に費用をカバーするために、サイバー保険に加入します。さらに、保険契約を見直して抜け穴がないことを確認します。
復号鍵については、地元の連邦政府の支援を求めます。
MIT License
Copyright (c) 2020 Viral Maniar
Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions:
The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software.
THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.
このツールに関する提案やアイデアは大歓迎です。Twitterの@ManiarViralまでツイートしてください。