WebDAVC2

ÚLTIMA/VERSÃO ATUAL: 0.3

Autor: Arno0x0x - @Arno0x0x

WebDavC2 é uma Prova de Conceito (PoC) do uso do protocolo WebDAV com requisições PROPFIND apenas para servir como um canal de comunicação C2 entre um agente, executando no sistema alvo, e um controlador atuando como o servidor C2 real.

A ferramenta é distribuída sob os termos da licença GPLv3.

Informações de contexto

Veja esta postagem de blog sobre como e por que tive a ideia de usar requisições WebDAV PROPFIND apenas como um canal C2:

Wordpress:Using WebDAV features as a covert channel

Arquitetura

WebDavC2 é composto por:

• um controlador, escrito em Python, que atua como servidor C2
• um agente, escrito em C#/.Net, executando no sistema alvo
• várias versões de stagers iniciais (criados dinamicamente quando o controlador inicia) usados para o comprometimento inicial do sistema alvo

Funcionalidades

Principais funcionalidades do WebDavC2:

• Vários stagers (comando único do PowerShell, arquivo batch, diferentes tipos de macro do MS-Office, arquivo JScript) - isso não é limitado, você pode facilmente criar seus próprios stagers, verifique a pasta de modelos para ter uma ideia
• Shell pseudo-interativo (com persistência de ambiente)
• Início automático do serviço WebClient, mesmo por um usuário sem privilégios usando o truque 'pushd'

Instalação e Configuração

A instalação é bastante simples:

• Clone este repositório usando Git: git clone https://github.com/Arno0x/WebDAVC2 WebDavC2
• Entre na pasta WebDavC2: cd WebDavC2
• Dê permissão de execução ao script principal: chmod +x webDavC2.py

Para iniciar o controlador, basta digitar ./webDavC2.py.

Compilando seu próprio agente

Embora seja perfeitamente aceitável usar o agent.exe fornecido, você pode compilar muito facilmente seus próprios executáveis do agente a partir do código-fonte fornecido. Você não precisa do Visual Studio instalado.

• Copie o arquivo agent/agent.cs para uma máquina Windows com o framework .Net instalado
• Entre no diretório de origem
• Use o compilador C# de linha de comando do .Net:
  • Para obter o executável padrão do agente: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /out:agent.exe *.cs
  • Para obter a versão de depuração: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /define:DEBUG /out:agent_debug.exe *.cs

AVISO LEGAL

Esta ferramenta destina-se a ser usada apenas de forma legal e legítima:

• seja em seus próprios sistemas como meio de aprendizado, de demonstrar o que pode ser feito e como, ou testar seus mecanismos de defesa e detecção
• em sistemas para os quais você foi oficial e legitimamente autorizado a realizar avaliações de segurança (testes de penetração, auditorias de segurança)

Citando os autores do Empire: Não há como construir ferramentas ofensivas úteis para a indústria legítima de segurança da informação enquanto, simultaneamente, impede que atores maliciosos as abusem.

A FAZER

Esta ferramenta é apenas uma PoC, portanto não espere qualidade de produção, além disso possui algumas limitações arbitrárias em termos de quantidade de dados que podem ser transferidos do agente de volta ao controlador.

A serem adicionados:

• mais stagers?

A serem corrigidos:

• Aumentar o limite de tamanho (arbitrário) da saída de comandos que pode ser retornada ao controlador
• Estou aguardando feedback :)