GitBackdorizer (BETA)

GitBackdorizer는 개념 증명(PoC) 도구로, Ulisses Castro의 50 ton of backdoors 발표에서 영감을 받았습니다. 사용자의 부주의를 악용하여 Git 접근 자격 증명을 탈취합니다.

작동 방식

GitBackdorizer는 핸들러(handler), 드로퍼(dropper), 페이로드(payload) 세 가지 구성 요소로 이루어져 있습니다.

핸들러

핸들러는 자격 증명을 캡처하기 위해 HTTP 서버를 설정하고, 드로퍼의 페이로드를 구성할 수 있는 메뉴를 제공합니다. 드로퍼 전달은 공격자의 책임입니다.

드로퍼

드로퍼는 sh 전용이 아닌 기능을 피하여 최대한의 호환성을 갖도록 설계되었습니다. 작동 방식:

• 백도어 처리된 Git 훅이 pre-push 훅인지 다른 훅인지 식별
• 특정 훅에 백도어 페이로드를 드롭
• 실행 권한 부여

페이로드

페이로드도 sh가 아닌 기능을 피하여 최대한의 호환성을 갖도록 설계되었습니다. 현재 두 가지 유형의 페이로드가 있습니다: 일반(generic) 페이로드와 pre-push 전용 페이로드입니다.

일반 페이로드는 다음 방법으로 원격 유형(HTTPS/SSH)을 식별합니다:

• 현재 브랜치 확인: git branch --contains HEAD
• 브랜치의 원격 이름 수집(git config 통해)
• 원격 이름의 원격 URL 수집(git config 통해) 그런 다음 URL이 https인지 ssh인지 확인합니다.

pre-push 페이로드는 제공된 Git 정보에서 URL을 직접 확인합니다(pre-push의 두 번째 훅 매개변수).

데모

gitbackdorizer를 사용하여 사용자의 신뢰를 악용하고 자격 증명을 탈취하는 방법:

GitBackdorizer - stealing credentials

감사 인사

• Ulisses Castro - 50 ton of backdoors (https://www.slideshare.net/ulissescastro/50-ton-of-backdoors)
• Giovani Silva - Infection Shell Script 작성