NachoVPN 🌮🔒

NachoVPN은 악성(rogue) VPN 서버를 사용하여 SSL-VPN 클라이언트의 취약점을 악용하는 개념 증명(PoC)입니다.

플러그인 기반 아키텍처를 사용하므로 커뮤니티에서 추가 SSL-VPN 제품에 대한 지원을 기여할 수 있습니다. 현재 Cisco AnyConnect, SonicWall NetExtender, Palo Alto GlobalProtect, Ivanti Connect Secure 등 여러 인기 기업용 VPN 제품을 지원합니다.

자세한 내용은 블로그 게시물과 HackFest Hollywood 2024 프레젠테이션 [슬라이드|비디오]를 참조하십시오.

설치

사전 요구 사항

• Python 3.9 이상
• Docker (선택 사항)
• osslsigncode (Linux 전용)
• msitools (Linux 전용)
• python3-netfilter (Linux 전용)
• git

Linux 설정

NachoVPN은 Ubuntu 22.04에서 빌드 및 테스트되었습니다.

• python3-nftables 및 nftables 설치

• 선택적으로 setcap을 사용하여 sudo 요구 사항을 피할 수 있습니다:

  root@kitploit:~

  sudo setcap 'cap_net_raw,cap_net_bind_service,cap_net_admin=eip' /usr/bin/python3.10
  

• IP 전달 활성화:

  root@kitploit:~

  sudo sysctl -w net.ipv4.ip_forward=1
  

소스에서 설치

NachoVPN은 pip를 사용하여 GitHub에서 설치할 수 있습니다. 이 경우 git이 설치되어 있어야 합니다.

먼저 가상 환경을 생성합니다.

Linux에서는 가상 환경이 시스템 site-packages에 접근할 수 있어야 nftables가 동작합니다:

python3 -m venv env --system-site-packages
source env/bin/activate

Windows에서는 nftables(따라서 패킷 전달)가 비활성화되므로 다음을 사용합니다:

python -m venv env
.\env\Scripts\activate

그런 다음 NachoVPN을 설치합니다:

pip install git+https://github.com/AmberWolfCyber/NachoVPN.git

Docker를 사용하려면 GitHub Container Registry에서 컨테이너를 가져올 수 있습니다:

docker pull ghcr.io/AmberWolfCyber/nachovpn:release

배포용 빌드

wheel 파일 빌드

먼저 이 저장소를 클론하고 pip로 setuptools와 wheel을 설치합니다. 그런 다음 setup.py 스크립트를 실행할 수 있습니다:

git clone https://github.com/AmberWolfCyber/NachoVPN
pip install -U setuptools wheel
python setup.py bdist_wheel

그러면 dist 디렉터리에 wheel 파일이 생성되며 pip로 설치할 수 있습니다:

pip install dist/nachovpn-1.0.0-py3-none-any.whl

로컬 개발용 빌드

또는 로컬 개발을 위해 다음 명령으로 패키지를 편집 가능(editable) 모드로 설치할 수 있습니다:

pip install -e .

컨테이너 이미지 빌드

다음 명령으로 컨테이너 이미지를 빌드할 수 있습니다:

docker build -t nachovpn:latest .

실행

서버를 독립 실행형으로 실행하려면 다음을 사용합니다:

python -m nachovpn.server

또는 Docker를 사용하여 서버를 실행할 수 있습니다:

docker run -e SERVER_FQDN=connect.nachovpn.local -e EXTERNAL_IP=1.2.3.4 -v ./certs:/app/certs -p 80:80 -p 443:443 --rm -it nachovpn

그러면 certbot을 사용해 SERVER_FQDN에 대한 인증서가 생성되고, 컨테이너에 마운트한 certs 디렉터리에 저장됩니다.

또는 테스트 목적으로 SKIP_CERTBOT 환경 변수를 설정하여 인증서 생성을 건너뛸 수 있습니다.

이 경우 자체 서명 인증서가 대신 생성됩니다.

docker run -e SERVER_FQDN=connect.nachovpn.local -e SKIP_CERTBOT=1 -e EXTERNAL_IP=1.2.3.4 -p 443:443 --rm -it nachovpn

편의를 위해 예제 docker-compose 파일도 제공됩니다.

디버깅

로깅의 상세 수준을 높이려면 nachovpn을 -d 또는 --debug 명령줄 인자와 함께 실행할 수 있으며, 이는 디버깅에 도움이 될 수 있습니다.

또는 로깅이 너무 많은 경우 q 또는 --quiet 명령줄 인자를 대신 사용할 수 있습니다.

플러그인

NachoVPN은 다음 플러그인과 기능을 지원합니다:

URI 핸들러

• Ivanti Connect Secure(Pulse Secure) URI 핸들러는 NachoVPN 서버의 /pulse URL을 방문하여 트리거할 수 있습니다.
• SonicWall NetExtender URI 핸들러는 NachoVPN 서버의 /sonicwall URL을 방문하여 트리거할 수 있습니다. 클라이언트 머신에 SonicWall Connect Agent가 설치되어 있어야 합니다.
• Delinea URI 핸들러는 NachoVPN 서버의 /delinea URL을 방문하여 트리거할 수 있습니다.

운영 참고 사항

• 신뢰할 수 있는 인증 기관(CA)이 서명한 TLS 인증서를 사용하는 것이 좋습니다. Docker 컨테이너는 certbot을 사용하여 이 과정을 자동화합니다. 신뢰할 수 있는 인증서를 사용하지 않으면 NachoVPN은 자체 서명 인증서를 대신 생성하며, 대부분의 경우 클라이언트에 인증서 경고를 표시하거나, 클라이언트 설정을 수정하여 자체 서명 인증서를 허용하지 않는 한 연결을 거부합니다. Palo Alto GlobalProtect 플러그인의 경우 MSI 설치 프로그램도 실패하게 됩니다.
• SonicWall 플러그인에 유효한 코드 서명 인증서를 시뮬레이션하기 위해 NachoVPN은 NACAgent.exe 페이로드를 자체 서명 인증서로 서명합니다. 테스트 목적으로 공격을 트리거하기 전에 /sonicwall/ca.crt에서 이 CA 인증서를 다운로드하여 설치할 수 있습니다. 프로덕션 사용 사례의 경우 공개 CA에서 유효한 코드 서명 인증서를 획득하여 NACAgent.exe 페이로드에 서명한 후 payloads 디렉터리에 배치해야 합니다(Docker를 사용하는 경우 /app/payloads에 볼륨 마운트).
• 편의를 위해 SonicWall 플러그인용 기본 NACAgent.exe 페이로드가 생성되어 payloads 디렉터리에 기록됩니다. 이 페이로드는 현재 사용자의 데스크톱에서 SYSTEM 권한으로 새 cmd.exe 프로세스를 생성합니다.
• Palo Alto GlobalProtect 플러그인은 MSI 설치 프로그램과 msi_version.txt 파일이 downloads 디렉터리에 있어야 합니다. 수동으로 추가하거나 msi_downloader.py 스크립트를 실행하여 다운로드하십시오.

플러그인 비활성화

플러그인을 비활성화하려면 DISABLED_PLUGINS 환경 변수에 추가합니다. 예:

DISABLED_PLUGINS=CiscoPlugin,SonicWallPlugin

환경 변수

NachoVPN은 환경 변수를 통해 구성됩니다. 따라서 컨테이너화된 배포와 쉽게 호환됩니다.

전역 환경 변수:

플러그인별 환경 변수:

완화 방안

다음 완화 방안을 권장합니다:

• SSL-VPN 클라이언트를 공급업체에서 제공하는 최신 버전으로 업데이트하십시오.
• 대부분의 VPN 클라이언트는 VPN 프로필을 특정 엔드포인트로 잠그거나 항상 켜진(always-on) VPN 모드를 지원합니다. 가능한 경우 이를 활성화해야 합니다.
• 안타깝게도 어떤 경우에는 악의적인 로컬 사용자가 이 잠금을 제거할 수 있으므로, 호스트 기반 방화벽 규칙을 사용하여 VPN 클라이언트가 통신할 수 있는 IP 주소를 제한하는 것도 권장됩니다.
• WDAC와 같은 애플리케이션 제어 정책이나 EDR 솔루션을 사용하여 승인된 실행 파일과 스크립트만 VPN 클라이언트에 의해 실행될 수 있도록 하는 것을 고려하십시오.
• VPN 클라이언트가 비표준 자식 프로세스를 실행하는 것을 탐지하고 경고하십시오.

참고 자료

• AmberWolf 블로그: NachoVPN
• HackFest Hollywood 2024: Very Pwnable Networks: 상용 VPN 클라이언트를 악용하여 원격 루트 및 SYSTEM 셸 탈취, Rich Warren & David Cash [비디오]
• BlackHat 2008: Leveraging the Edge: SSL VPN 악용, Mike Zusman
• BlackHat 2019: NSA처럼 기업 인트라넷에 침투하기, Orange Tsai & Meh Chang
• NCC Group: 새로운 연결 만들기: Cisco AnyConnect 클라이언트를 활용하여 페이로드 드롭 및 실행, David Cash & Julian Storr
• The OpenConnect Project

기여

기여를 환영합니다! 이슈를 열거나 Pull Request를 올려 주세요.

새 플러그인 개발에 관심이 있다면 ExamplePlugin을 살펴보고 시작할 수 있습니다.

라이선스

NachoVPN은 MIT 라이선스로 제공됩니다. 자세한 내용은 LICENSE 파일을 참조하십시오.