ddoor

크로스 플랫폼 DNS TXT 레코드 기반 백도어

ddoor란 무엇인가?

ddor는 TXT 레코드를 사용하여 감염된 시스템에서 명령을 실행하는 크로스 플랫폼 경량 백도어입니다.

특징

• 단일 TXT 레코드로 Linux와 Windows 시스템 각각에 별도의 명령을 지정할 수 있음
• 약 10개의 공개 DNS 서버 목록에서 무작위로 선택
• 예측 불가능한 콜백 시간
• 사용자 지정 암호로 XOR을 사용해 TXT 레코드 암호화
• DNS over HTTPS 지원 (Keith(@keharv)님께 감사드립니다!)

Linux 기능:

• 안티 디버깅: ptrace가 프로세스에 연결된 것으로 감지되면 종료
• 프로세스 이름/스레드 이름 위장: 시스템 인수와 파일 이름을 가짜 이름으로 덮어써 정상 프로그램처럼 보이게 함
• 자동 데몬화
• GUID/UID를 0(root)으로 설정 시도

Windows 기능:

• 콘솔 창 숨김
• 스텁 크기 약 700KB

설치

Python 생성 스크립트에 필요한 종속성을 설치하려면 다음을 실행하세요.

pip3 install -r requirements.txt

config.h를 편집하여 제공된 도메인을 자신의 도메인으로 변경해야 합니다. 가짜 이름과 암호도 변경할 수 있습니다.

Linux 바이너리 생성:

compile.sh 스크립트를 실행하면 bin 폴더에 binary라는 파일이 생성됩니다.

Windows 바이너리 생성:

이 프로젝트는 VS 2019를 사용하여 빌드되었습니다. VS2019에서 sln 파일을 열고 릴리스 빌드를 선택하여 빌드하세요.

사용법

payload_manager.py를 python3로 실행하여 16진수로 인코딩된 페이로드를 생성한 다음 도메인의 TXT 레코드를 업데이트하거나 생성하세요. TTL은 300초로 설정해야 합니다!!!

페이로드 관리자 사용법:

$ ./payload_manager.py -h
@@@@@@@   @@@@@@@    @@@@@@    @@@@@@   @@@@@@@
@@@@@@@@  @@@@@@@@  @@@@@@@@  @@@@@@@@  @@@@@@@@
@@!  @@@  @@!  @@@  @@!  @@@  @@!  @@@  @@!  @@@
!@!  @!@  !@!  @!@  !@!  @!@  !@!  @!@  !@!  @!@
@!@  !@!  @!@  !@!  @!@  !@!  @!@  !@!  @!@!!@!
!@!  !!!  !@!  !!!  !@!  !!!  !@!  !!!  !!@!@!
!!:  !!!  !!:  !!!  !!:  !!!  !!:  !!!  !!: :!!
:!:  !:!  :!:  !:!  :!:  !:!  :!:  !:!  :!:  !:!
 :::: ::   :::: ::  ::::: ::  ::::: ::  ::   :::
:: :  :   :: :  :    : :  :    : :  :    :   : :
usage: payload_manager.py [-h] [-l LINUX_CMD] [-w WINDOWS_CMD]
                          [-d DOMAIN_SEARCH]

ddor, 크로스 플랫폼 DNS 백도어

선택적 인수:
  -h, --help        이 도움말 메시지를 표시하고 종료
  -l LINUX_CMD      Linux 명령
  -w WINDOWS_CMD    Windows 명령
  -d DOMAIN_SEARCH  명령을 확인할 도메인