Abaddon

Abaddon ロゴ

レッドチーム運用には多様なスキルが必要であり、数ヶ月にわたる政治的にも敏感な活動です。それには多くの監視、統合、そして注意が求められます。Wavestoneのレッドチーム運用管理ソフトウェア「Abaddon」は、レッドチーム運用をより迅速かつ再現性が高く、ステルス性を高めると同時に、付加価値のあるツールを組み込み、多くのレポート作成機能を提供するように設計されています。

なぜなら:

レッドチームが使用するツールは無数にある
...しかし、運用管理（しかも無料でオープンソースの）ソフトウェアは存在しない
...そして、これらのツール間での統合もない
...さらに、「運用セキュリティ（OPSEC）」の失敗はよくある

Abaddonで何を目指したのか？:

Abaddonは、以下の方法でレッドチーム運用を促進することを目的としています:

インフラ構築にかかる時間を短縮する
1回または2回のクリックで複雑なアクションを可能にする
長期運用におけるレポーティングを容易にする
「OPSEC障害」のリスクを低減する

RSAC2020でAbaddonを紹介したスライドはこちらです: (Abaddon, the red team angel)

デプロイ可能なもの

Abaddon インフラストラクチャ

30分以内にデプロイ可能
破棄可能、認証付き、ステルス性
フィッシングとリモートコマンド実行の両方を可能にする

その他の機能

偵察: NMAP、Recon-NG、HunterIO、Amassへのグラフィカルインターフェース
武器化: 難読化されたペイロードの生成（開発中）
配信: 1～2クリックでのEC2インスタンス、Gophish、および上記のような完全に機能するステルスでDocker化されたC&Cインフラのデプロイ
攻撃とポストエクスプロイト: アイデア募集中（開発中）
レポーティング: 運用を追跡するためのシンプルなダッシュボードは準備済みだが、まだ開発中

Abaddonのインストールと起動

AbaddonはDebian、LUbuntu、そしてもちろんKALI Linuxでテストされています（最新のテストは5.4.0 amd64バージョンで実施）。また、インターネットへのアクセスが必要です。C&Cサーバーをローカルにデプロイする場合は、公開IPアドレスも必要です。

AWS環境を設定する最も簡単な方法は、以下のようにaws-cliをインストールすることです: https://docs.aws.amazon.com/fr_fr/cli/latest/userguide/install-cliv2-linux.html

curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip
sudo ./aws/install

このリポジトリをクローンし、リポジトリフォルダ内に移動します

git clone [email protected]/wavestone-cdt/abaddon.git
cd abaddon

以下のコマンドを使用して、AWS認証情報と設定を記載したファイル ~/.aws/credentials と ~/.aws/config を作成します:

aws configure

settings.py.sample を settings.py にリネームします。データベースユーザーのパスワードを変更します（このパスワードはセットアップ中に要求されます）。

mv abaddon/settings.py.sample abaddon/settings.py
sed -i 's/yourPasswordHere/<databasepassword>/g' abaddon/settings.py

abaddon/setupフォルダ内で次のコマンドを実行します:

bash setup/install.sh

このスクリプトは以下を実行します:

OSの更新
DjangoおよびAbaddonに必要なパッケージ（dockerおよびdocker-composeを含む）のインストール
すべてのPython依存関係（Django 3.Xを含む）のインストール
PostgreSQLデータベースと適切なロールを持つユーザーの作成（データベースのパスワードは abaddon/settings.py ファイル内にあり、変更することを推奨します）
Djangoマイグレーションの適用
Djangoアプリケーションのスーパーユーザーの作成（Abaddonのグラフィカルインターフェースへのログインに使用）

レッドチームの天使を起動！

bash abaddon.sh

ブラウザを開き、URL 127.0.0.1:8000 にアクセスします（インストール中に作成したDjangoスーパーユーザーの認証情報でログイン）。

Abaddon内でのC&Cインフラのデプロイ

AbaddonからEC2インスタンスがまだデプロイされていない場合（awsフォルダ内のSSHキーにアクセスできるように、AbaddonからEC2をデプロイすることが重要です）、Delivery/Let’s phish! ページに移動します。Deploy EC2! をクリックします。デプロイが完了するまで待ちます（Abaddonを起動したターミナルでEC2が使用可能かどうかを確認できます。すべてのデプロイ手順がシェルに表示されます）。
misc/apache/default-ssl.conf ファイルに移動し、2番目のVirtualHost内のEC2のドメイン名を更新します。インフラの検出を避けるために、新しいドメイン名を購入し、それがEC2を指すように設定します。このドメイン名をApache設定ファイルで使用し、それに応じて misc/apache/topsecret.key と misc/apache/topsecret.crt（新しいドメインの秘密鍵と証明書）を更新します。
次に Monitor current Scenarios ページに移動し、Configure a RedELK infrastructure をクリックします。このシナリオに名前を付けます。Abaddonは現在、一度に1つのシナリオしかサポートしていません。AbaddonからデプロイしたEC2インスタンスを選択し、Local Deployment を選択します（Apache dockerをローカルにデプロイするため）。次に、デプロイしたEC2がHTTPおよびSSL接続を受信するために使用するポートと、Apacheリバースプロキシがトラフィックを転送するポートとIPアドレス（例：SILENTTRINITYサーバーが待ち受けているIPとポート）を選択します。一般的な設定は次のようになります:

http port = 80 ssl port = 443 Listening Port= 9999 C2 IP adress = 172.16.0.1

デプロイが完了するのを待ち、Monitor current Scenarios ページに戻ります。

参加方法

プルリクエストを送信したり、私（@Ibrahimous）に質問を送信したりすることをお気軽にどうぞ。

コントリビューションのお願い

ペンテスターやその他の攻撃セキュリティ愛好家が、自分たちの秘密の領域から飛び出し、アイデアを共有し、レッドチーム運用のための包括的なフレームワークの確立に貢献してくれることを強く望んでいます。

そのため、ツールを強化したいのであれば、ぜひお願いします。根本的に再構築したいのであれば、アイデアを提出してください。

ドキュメント、セットアップ、基本的な使い方

ドキュメントは作成中であり、まもなく Wiki で利用可能になります。

作成者

Charles IBRAHIM (@Ibrahimous)

謝辞、コントリビューター、および非自覚的コントリビューター

(順不同)

Marcello Salvati (@byt3bl33d3r)、SILENTTRINITYを提供。Boo-lang、omg。
Arthur Villeneuve (@crypt0-M3lon)、docker、プロキシプロトコルなどに関する素晴らしいアイデアを提供。
Romain Melchiorre、多くの素晴らしいアイデアを統合。
Timon Glasser、SILENTTRINITYのパッチ適用、バグ修正、アイデアの統合、実際の運用でのスムーズな動作を実現！
@sbnsec、現在すべてをterraform化中！
Arnaud Soullié (@arnaudsoullie)、プロジェクトの大部分を監視してくれたから。

abaddon

人気