trycatchhcf/cloakifyCloakifyFactory - 눈에 띄지 않는 데이터 유출 및 침투; 모든 파일 형식을 일상적인 문자열 목록으로 변환, 텍스트 기반 스테가노그래피 사용; DLP/MLS 장치 우회, 데이터 화이트리스트 제어 무력화, 분석가에 대한 사회 공학적 접근, 안티바이러스 탐지 우회
CloakifyFactory & Cloakify Toolset - 눈에 띄지 않는 데이터 유출 및 침투; DLP/MLS 장치 회피; 분석가 대상 사회공학; 데이터 화이트리스트 제어 무력화; AV 탐지 회피. 목록을 사용한 텍스트 기반 스테가노그래피. 모든 파일 형식(예: 실행 파일, Office, Zip, 이미지)을 일상적인 문자열 목록으로 변환합니다. 매우 간단한 도구, 강력한 개념, 상상력만이 한계입니다.
(2020년 5월 27일 업데이트: 네, 2020년 여름 동안 제 모든 Github 프로젝트를 Python3로 마이그레이션할 예정입니다.)
Joe Gervais (TryCatchHCF)
DLP 시스템, MLS 장치 및 SecOps 분석가는 찾아야 할 데이터를 알고 있습니다: 그러니 그 데이터를 그들이 찾지 않는 것으로 변환하세요:
DEF CON 24 슬라이드(프로젝트에 포함됨)를 Crypto & Privacy Village 워크숍 및 DemoLabs 세션에서 확인하세요. Cloakify Toolset이 할 수 있는 작업, 특정 사용 사례 등에 대한 전체 튜토리얼입니다. (발표의 예제는 독립 실행형 스크립트를 사용합니다. 새로운 CloakifyFactory를 사용하여 작업을 간소화하는 것이 좋습니다.)
CloakifyFactory 빠른 시작을 위해 프로젝트에 포함된 'README_GETTING_STARTED.txt' 파일을 참조하세요.
CloakifyFactory는 모든 파일 형식(예: .zip, .exe, .xls 등)을 무해해 보이는 문자열 목록으로 변환합니다. 이를 통해 파일을 눈에 띄지 않게 숨기고 경고를 트리거하지 않고 파일을 전송할 수 있습니다. 이 기술의 공식 용어는 "텍스트 기반 스테가노그래피"로, 데이터를 다른 데이터처럼 보이게 하여 숨기는 것입니다. 예를 들어, .zip 파일을 포켓몬 생물 목록 또는 상위 100개 웹사이트 목록으로 변환할 수 있습니다. 그런 다음 선택한 방식으로 클록 파일을 전송하고, 유출된 파일을 원래 형태로 다시 디클록합니다.
페이로드를 클록하면 보안 네트워크 경계를 넘어 데이터를 전송할 때 경고를 트리거하지 않습니다. 또한 데이터 화이트리스트 제어를 우회할 수 있습니다. 네트워크에서 IP 주소만 허용하는 보안 장치가 있나요? 페이로드를 IP 주소로 변환하면 문제 해결됩니다. 추가로, 분석가의 작업 흐름에 대한 사회공학 공격을 통해 보안 분석가의 검토를 방해할 수 있습니다. 마지막 보너스로, 클록 파일은 시그니처 기반 악성코드 탐지 도구를 회피합니다.
사전 패키징된 사이퍼는 무해하거나 무시할 수 있는 목록처럼 보이도록 설계되었지만, 일부(MD5 암호 해시 등)는 특히 주의를 분산시키는 미끼로 의도되었습니다.
CloakifyFactory는 사람들에게 암호 및 스테가노그래피 개념을 소개하는 좋은 방법이기도 합니다. 사용하기 쉽고 프로세스를 안내하며, 우리 아이들에 따르면 재미있기도 합니다!
Python 2.7.x
$ python cloakifyFactory.py
CloakifyFactory는 Cloakify Toolset 스크립트를 활용하는 메뉴 기반 도구입니다. 파일을 Cloakify하는 옵션을 선택하면 스크립트가 먼저 페이로드를 Base64로 인코딩한 다음, Base64 페이로드를 인코딩하는 문자열 목록을 생성하는 사이퍼를 적용합니다. 그런 다음 원하는 방식으로 파일을 원하는 대상으로 전송합니다. 유출된 후에는 동일한 사이퍼로 Decloakify를 선택하여 페이로드를 디코딩합니다.
참고: Cloakify는 안전한 암호화 체계가 아닙니다. 빈도 분석 공격에 취약합니다. 페이로드를 클록할 때 'Add Noise' 옵션을 사용하여 엔트로피를 추가하면 빈도 분석 공격을 완화하는 데 도움이 됩니다. 기밀이 필요한 경우 클록 전에 파일을 암호화해야 합니다.
지원 스크립트(cloakify.py 및 decloakify.py)는 독립 실행형 스크립트로 사용할 수 있습니다. 매우 작고, 간단하고, 깨끗하며, 이식성이 좋습니다. 전체 도구 세트를 침투시키는 것이 비현실적인 시나리오의 경우, 대상의 로컬 셸에 독립 실행형 스크립트를 빠르게 입력하고, 제자리에서 사이퍼를 생성한 다음 cloakify -> 유출할 수 있습니다.
Windows 대상에 Python이 없는 경우 py2exe를 사용하세요. (http://www.py2exe.org/)
사전 패키징된 사이퍼에는 다음 목록이 포함됩니다:
클록된 페이로드에 노이즈/엔트로피를 추가하기 위한 사전 패키징된 스크립트:
각 스크립트의 주석에서 노이즈 생성기를 자신의 필요에 맞게 조정하는 방법에 대한 세부 정보를 확인하세요.
Cloakify Factory는 자신만의 맞춤형 사이퍼를 사용할 때 가장 효과적입니다. 기본 사이퍼는 대부분의 요구에 충분할 수 있지만, 독특한 유출 시나리오에서는 직접 사이퍼를 구축해야 할 수도 있습니다. 최소한 사전 패키징된 사이퍼를 복사하고 순서를 무작위화할 수 있습니다.
사이퍼 만들기:
일부 사용자는 Cloakify Toolset 스크립트를 독립 실행형 모드로 사용하는 것을 선호할 수 있습니다. 도구 세트는 이를 지원하도록 설계되었습니다.
클록된 페이로드에 대한 빈도 분석 공격을 저하시키기 위해 노이즈를 추가합니다. 여기서는 'pokemonGo' 사이퍼를 사용한 후 'prependLatLonCoords.py' 스크립트를 사용하여 10x10 마일 그리드 내에서 무작위 지리 좌표를 생성합니다. decloaking 전에 'removeNoise.py' 스크립트를 사용하여 파일에서 노이즈를 제거합니다.
또는 물론: $ cat cloakedAndNoisy.txt | cut -d" " -f3- > cloakedNoiseStripped.txt
