著者: Luke Jennings ([email protected] - @jukelennings)

会社: Countercept (@countercept)

PCAPファイルからDOUBLEPULSAR SMBインプラントが使用するC2トラフィックを復号するためのpython2スクリプトです。使用される暗号化は単純な4バイトXORで、FUZZBUNCHツールセットのコマンド出力に表示されるのをよく見かけます。これは、最初の非pingパケットのSESSION_SETUPパラメータに連続する4バイトのゼロが存在することを利用してXORキーを直接明らかにし、それを使用してすべてのトラフィックを復号するものです。

これは初期リリースであり、ネットワークパケット内の特定のコンポーネントを検出することに依存しています。また、DLLインジェクション機能でテストされています。最良の結果を得るには、トラフィック内にコマンドが1つだけ含まれるPCAPファイルを指定してください。

テスト用に、このリポジトリには、DLLインジェクションコマンドを使用して、標準Windows DLLであるwininet.dllをターゲットマシン上で実行中のcalc.exeプロセスに注入した際にキャプチャされたPCAPファイルが含まれています。このスクリプトを実行した復号出力もリポジトリに含まれており、4885バイトのシェルコードと、それに続くwininet.dllのバイト単位のコピーが含まれています。

このスクリプトは python-pcapng ライブラリに依存しています。以下に使用例を示します。

root@kali:~# pip install python-pcapng

root@kali:~# python decrypt_doublepulsar_traffic.py --pcapng inject-dll-wininet-into-calc.pcapng --output decrypted_data.bin

doublepulsar-c2-traffic-decryptor

人気