Sticky Keys Hunter

This POC bash script tests for sticky keys and utilman backdoors. The script will connect to an RDP server, send both the sticky keys and utilman triggers and screenshot the result.

This script was written to prove a theory I had about detecting these backdoors in a blackbox fashion, and hasn't been updated since I wrote my blog post, Hunting Sticky Keys Backdoors. However, @DennisMald and @notmedic furthered this research and released the Sticky Keys Slayer tool at their DEF CON 24 presentation, Sticky Keys To The Kingdom. Check out their tool as it has many improvements over this POC script.

仕組み

1. rdesktop を使用して RDP に接続
2. xdotool を使用して Shift キーを 5 回送信し、sethc.exe のバックドアをトリガー
3. xdotool を使用して Windows+U を送信し、utilman.exe のバックドアをトリガー
4. スクリーンショットを取得
5. RDP 接続を切断

前提条件

1. X サーバーが動作している Linux ホスト
2. 以下のパッケージ: xdotool imagemagick rdesktop bc 3. Debian/Ubuntu/Kali でのインストール: apt-get install xdotool imagemagick rdesktop bc
3. この処理中に画面をロックしてはいけません。ロックするとすべてのスクリーンショットが黒くなります。

使用方法

単一ホストのスキャン: ./stickyKeysHunter.sh 192.168.1.10

複数ホストのスキャン: for i in $(cat list.txt); do ./stickyKeysHunter.sh "${i}"; done

TODO

1. OCR または画像処理を使用してスクリーンショットを自動分析し、バックドアを特定する。
2. ツールの高速化/マルチスレッド化。