BounceBack

↕️🤫 Redirecionador furtivo para a segurança da sua operação de red team.

Visão Geral

BounceBack é um proxy reverso poderoso, altamente personalizável e configurável, com funcionalidade de WAF para ocultar sua infraestrutura C2/phishing/etc de blue teams, sandboxes, scanners, etc. Ele usa análise de tráfego em tempo real através de vários filtros e suas combinações para ocultar suas ferramentas de visitantes ilegítimos.

A ferramenta é distribuída com listas pré-configuradas de palavras bloqueadas, endereços IP bloqueados e permitidos.

Para mais informações sobre o uso da ferramenta, visite a wiki do projeto.

Patrocinadores

_{Quer exibir seu anúncio aqui? Entre em contato}

Funcionalidades

• Pipeline de filtros altamente configurável e personalizável com concatenação baseada em booleanos de regras será capaz de ocultar sua infraestrutura dos olhos mais atentos dos blue teams.
• Estrutura do projeto facilmente extensível, todos podem adicionar regras para seu próprio C2.
• Blacklist massiva integrada e curada de pools e faixas IPv4 conhecidas por estarem associadas a fornecedores de segurança de TI, combinada com filtro IP para impedi-los de usar/atacar sua infraestrutura.
• O analisador de perfil Malleable C2 é capaz de validar o tráfego HTTP(s) de entrada contra a configuração do Malleable e rejeitar pacotes inválidos.
• Suporte a domain fronting pronto para uso permite ocultar um pouco mais sua infraestrutura.
• Capacidade de verificar o endereço IPv4 da solicitação contra dados de geolocalização/reverse lookup e compará-lo com expressões regulares especificadas para excluir peers que se conectam fora de empresas, nações, cidades, domínios permitidos, etc.
• Todas as solicitações recebidas podem ser permitidas/proibidas para qualquer período de tempo, permitindo configurar filtros de horário de trabalho.
• Suporte para múltiplos proxies com diferentes pipelines de filtro em uma única instância do BounceBack.
• Mecanismo de log detalhado permite acompanhar todas as solicitações e eventos recebidos para analisar o comportamento do blue team e depurar problemas.

Regras

A ideia principal das regras é como o BounceBack corresponde ao tráfego. A ferramenta atualmente suporta os seguintes tipos de regras:

• Combinações de regras baseadas em booleanos (e, ou, não)
• Análise de IP e sub-rede
• Inspeção de campos de geolocalização IP
• Sonda de domínio por reverse lookup
• Correspondência de regexp em pacotes brutos
• Validação de tráfego de perfis Malleable C2
• Regra de horário de trabalho (ou não)

Regras personalizadas podem ser facilmente adicionadas, basta registrar seu RuleBaseCreator ou RuleWrapperCreator. Veja os RuleBaseCreators e RuleWrapperCreators já criados.

A página de configuração de regras pode ser encontrada aqui.

Proxies

A seção de proxies é usada para configurar onde escutar e fazer proxy de tráfego, qual protocolo usar e como encadear regras para filtragem de tráfego. No momento, o BounceBack suporta os seguintes protocolos:

• HTTP(s) para sua infraestrutura web
• DNS para seus túneis DNS
• TCP bruto (com ou sem TLS) e UDP para protocolos personalizados

Protocolos personalizados podem ser facilmente adicionados, basta registrar seu novo tipo no gerenciador. Exemplos de realizações de proxy podem ser encontrados aqui.

A página de configuração de proxies pode ser encontrada aqui.

Instalação

Basta baixar a versão mais recente da página de releases, descompactar, editar o arquivo de configuração e pronto.

Se você quiser compilar a partir do código-fonte, clone-o (não se esqueça do GitLFS), instale o goreleaser e execute:

goreleaser release --clean --snapshot

Uso

1. (Opcionalmente) Atualize a lista banned_ips.txt:

   root@kitploit:~

   bash scripts/collect_banned_ips.sh > data/banned_ips.txt
   

2. Modifique o config.yml conforme suas necessidades. Configure as regras para corresponder ao tráfego, os proxies para analisar o tráfego usando regras e os globals para configuração aprofundada das regras.

3. Execute o BounceBack:

   root@kitploit:~

   ./bounceback
   

   Uso do BounceBack:
   -c, --config string Caminho para o arquivo de configuração no formato YAML (padrão "config.yml")
   -l, --log string Caminho para o arquivo de log (padrão "bounceback.log")
   -v, --verbose count Registro detalhado (0 = info, 1 = debug, 2+ = trace)