RAT-via-Telegram

Notas do Dviros:

Ferramenta de Pós-Intrusão Remota no Windows via Telegram (Python 2.7), Originalmente criada por Ritiek, bifurcada e modificada por mvrozanti e depois por mim.

O propósito principal desta ferramenta é demonstrar (como um "PoC") o controle de uma máquina já comprometida, via Telegram. Assim como nas minhas ferramentas já escritas, não promovo atividades ilegais.

Esta versão modificada usa a API v2 do bot do Telegram, em vez da v1 tradicional. A principal mudança são botões de teclado em vez de digitação de texto. Tentarei adicionar novas funcionalidades, corrigir bugs e ser compatível com a API v3, após adicionar as alterações necessárias do "mvrozanti". Enquanto isso, comandos como cd, download, upload, run e delete não funcionarão.

Doações serão muito apreciadas

Funcionalidades Atualmente Funcionais:

• Executar keylogger no alvo
• Obter versão do Windows, processador e mais do PC alvo
• Obter informações de endereço IP e localização aproximada no mapa do PC alvo
• [WIP] Excluir arquivos ou pastas no alvo
• Mostrar diretório atual no alvo
• [WIP] Alterar diretório atual no alvo
• Listar diretório atual ou especificado no alvo
• [WIP] Baixar qualquer arquivo do alvo
• Enviar arquivos locais para o alvo. Envie sua imagem, pdf, exe ou qualquer coisa como file para o bot do Telegram
• Iniciar reprodução automática de um vídeo em tela cheia e sem controles para um vídeo do YouTube no alvo
• Capturas de tela do alvo
• [WIP] Executar qualquer arquivo no alvo
• Acesso ao microfone no alvo
• Iniciar servidor proxy HTTP
• Congelar teclado do alvo
• Retornar a tabela ARP do alvo
• [WIP] Agendar tarefas para executar em horário específico
• [WIP] Congelar mouse do alvo
• Obter processos e serviços ativos
• [WIP] Capturar área de transferência (Texto, Imagem)
• [WIP] Desativar/Ativar mouse/teclado
• [WIP] Ocultar ícones da área de trabalho
• [WIP] Atualizar .exe no alvo
• [WIP] Desligar / Reiniciar computador
• [WIP] Autodestruição do RAT no alvo
• [WIP] Tirar fotos da webcam (se conectada)
• [WIP] Copiar e mover arquivos no alvo
• [WIP] Compressão de áudio
• Mais em breve!

Notas legadas do Ritiek:

Por que mais um?

• As atuais Ferramentas de Administração Remota no mercado enfrentam 2 grandes problemas:

  • Falta de criptografia.
  • Necessidade de redirecionamento de portas para controlar a centenas de quilômetros.

• Este RAT supera ambos os problemas usando a API do bot do Telegram.

  • Totalmente criptografado. Os dados trocados não podem ser espionados usando ferramentas MITM.
  • O aplicativo de mensagens Telegram fornece uma maneira simples de se comunicar com o alvo sem configurar redirecionamento de porta previamente no alvo.

Capturas de tela:

Instalação & Uso:

• Clone este repositório.
• Configure um novo bot do Telegram conversando com o BotFather.
• Copie este token e substitua no início do script.
• Instale as dependências: pip install -r requirements.txt.
• Instale o pyHook 64-bit ou 32-bit dependendo do seu sistema.
  • Para 64-bit- pip install pyHook-1.5.1-cp27-cp27m-win_amd64.whl.
  • Para 32-bit- pip install pyHook-1.5.1-cp27-cp27m-win32.whl.
• Para executar o script: python RATAttack.py.
• Encontre seu bot no telegram e envie algum comando para o bot para testá-lo.
• Para restringir o bot para que ele responda apenas a você, anote seu chat_id no console e o substitua no script e comente a linha return True. Não se preocupe, você saberá quando ler os comentários no script.
• Uma pasta chamada RATAttack será criada no seu diretório de trabalho contendo e quaisquer arquivos que você enviar para o bot.

Compilação:

Como Compilar:

Ou:

Substitua seu caminho no compileAndRun.bat (ao executar, realmente executará o executável)

Ou:

Execute `pyinstaller --onefile --noconsole C:\caminho\para\RATAttack.py`. Você também pode passar `--icon=<caminho\para\icon.ico>` para usar qualquer ícone personalizado.

• Depois de compilado com sucesso, encontre o arquivo .exe em C:\Python27\Scripts\dist\. Você pode alterar o nome do .exe como desejar.
• CUIDADO! Se você executar o .exe compilado, o script se ocultará e infectará seu PC para iniciar na inicialização. Você pode retornar ao normal usando a opção /self_destruct ou removendo manualmente o diretório C:\Users\Username\AppData\Roaming\Portal e C:\Users\Username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\portal.lnk (embora eu recomende removê-los manualmente por enquanto).

Modificando Configurações:

• Você também pode modificar o nome do arquivo .exe oculto e a localização e nome da pasta onde o .exe oculto se esconderá. Para isso, modifique compiled_name e hide_folder respectivamente.
• Atribua seus ids de chat conhecidos ao início de RATAttack.py

Licença:

The MIT License