Neton - 샌드박스 정보 수집 도구

Neton은 인터넷에 연결된 샌드박스로부터 정보를 수집하기 위한 도구입니다. 에이전트와 수집된 정보를 표시하는 웹 인터페이스로 구성됩니다.
Neton 에이전트는 실행 중인 시스템에서 정보를 수집하고 HTTPS를 통해 웹 서버로 유출합니다.

수집하는 정보 중 일부:

• 운영 체제 및 하드웨어 정보
• 마운트된 드라이브에서 파일 찾기
• 서명되지 않은 Microsoft 드라이버 목록
• SharpEDRChecker 실행
• Pafish 실행
• Al-Khaser 실행
• 후킹 감지
• 데스크톱 스크린샷 촬영

이 모든 정보는 Red Team 아티팩트를 개선하거나 샌드박스의 작동 방식을 학습하여 개선하는 데 사용할 수 있습니다.

Images

Deployment

NetonWeb

1. Install (with virtualenv):

python3 -m venv venv
source venv/bin/activate
pip3 install -r requirements.txt

2. Configure the database:

python3 manage.py migrate
python3 manage.py makemigrations core
python3 manage.py migrate core

• Create user:

python3 manage.py createsuperuser

Launch (test)

python3 manage.py runserver

Launch (prod)

• 인증서를 생성하여 certs 폴더에 저장합니다:

openssl req -newkey rsa:2048 -new -nodes -x509 -days 3650 -keyout server.key -out server.crt

gunicorn 실행:

./launch_prod.sh

Agent

Visual Studio로 솔루션을 빌드합니다. 에이전트 구성은 Program.cs 클래스에서 수행할 수 있습니다.

• url 변수: 정보가 유출될 URL (NetonWeb의 URL).
• sandboxId 변수: 샘플이 업로드되는 샌드박스의 식별자.
• wave 변수: 샘플이 전송되는 여러 시점을 구성하는 방식. muestras.

Sample data

sample data 폴더에는 다음 서비스에서 수집된 여러 샘플이 포함된 sqlite 데이터베이스가 있습니다:

• Virustotal
• Tria.ge
• Metadefender
• Hybrid Analysis
• Any.run
• Intezer Analyze
• Pikker
• AlienVault OTX
• Threat.Zone

샘플 정보에 액세스하려면 sqlite 파일을 NetonWeb 폴더에 복사하고 애플리케이션을 실행하세요.

자격 증명:

• User: raccoon
• Password: jAmb.Abj3.j11pmMa

Extra info

• 슬라이드 (ES): https://github.com/Aetsu/Presentaciones/blob/master/Sandbox%20fingerprinting%20-%20Evadiendo%20entornos%20de%20analisis.pdf
• 비디오 (ES): https://www.youtube.com/watch?v=AyVgIttiUpQ
• 비디오 (EN): https://www.youtube.com/watch?v=KzwEddl80OQ

Credits

• SharpEDRChecker: https://github.com/PwnDexter/SharpEDRChecker
• Pafish: https://github.com/a0rtega/pafish
• Al-Khaser: https://github.com/LordNoteworthy/al-khaser
• OffensiveCSharp -> HookDetector: https://github.com/matterpreter/OffensiveCSharp/tree/master/HookDetector
• OffensiveCSharp -> DriverQuery: https://github.com/matterpreter/OffensiveCSharp/tree/master/DriverQuery