F31: Ocultando o Kali Linux

F31 é um script bash que fortalece seu Kali Linux e permite minimizar o ruído no ar. Útil para pentesters ou operadores de Red Team onde é importante ter o mínimo de impacto na infraestrutura para evitar problemas de desempenho na rede.

A ferramenta não garante evasão total de SOC, pois as infraestruturas de rede são diferentes, cada caso de análise de segurança é único. O principal objetivo do F31 é minimizar o ruído no ar.

Aviso Legal

Este artigo e ferramenta é de natureza introdutória e destina-se a profissionais de segurança que realizam testes sob contrato. A distribuição de malware, a interrupção de sistemas e a violação do sigilo de correspondência serão processadas. O autor não é responsável por qualquer dano causado por esta ferramenta.

Mecânica

O script realiza as seguintes operações:

Instalação das ferramentas necessárias. iptables para configuração de FW, tc do pacote iproute2 para modelagem de tráfego e macchanger para alteração de MAC
Alteração do hostname. Sim, alterar o hostname no Kali pode parecer algo trivial, mas o hostname padrão do Kali é um dos grandes gatilhos. Você deve sempre alterar o hostname padrão para algum outro hostname
Desabilitar a transmissão do hostname via DHCP na configuração do Network Manager "Wired Connection". Observe que o F31 se refere ao arquivo /etc/NetworkManager/system-connections/Wired\ connection\ 1
Aumento do TTL e deslocamento do TTL +1 para contornar o rastreamento de pacotes durante ataque MITM
Desabilitar o cliente NTP
Configuração do firewall. Permitir conexões estabelecidas e encadeadas, bloquear conexões inválidas, restringir tráfego ICMP, bloquear valores inesperados de TCP MSS
Desabilitar ICMP Redirect. Sistemas de segurança IDS/IPS podem disparar em mensagens ICMP Redirect, o que pode expor o atacante.
Randomização do endereço MAC. Um clássico do gênero.
Traffic Shaping. Minimiza o ruído para operação cuidadosa de scanners para não sobrecarregar equipamentos de rede. Limita a 30Kbit/s, 800 ms de latência

Como Usar

É simples o suficiente, clone o repositório, dê permissões de execução aos scripts bash.

caster@kali:~$ git clone https://github.com/wearecaster/F31
caster@kali:~$ cd F31/
caster@kali:~/F31$ chmod +x F31.sh reset.sh

F31 requer privilégios de root para executar

caster@kali:~$ sudo bash F31.sh
███████ ██████   ██ 
██           ██ ███ 
█████    █████   ██ 
██           ██  ██ 
██      ██████   ██ 
                    
F31: Tool for hiding Kali Linux on the network
Author: Caster, @wearecaster, <[email protected]>
Version: 1.0.0
For instructions and an example of how to use it, visit: https://github.com/wearecaster/F31
Usage: F31.sh --interface <interface> --new-hostname <hostname> [--noise-reduction]

Options:
  --interface       Specify the network interface to hide
  --new-hostname    Specify the new hostname for the system
  --noise-reduction Enable traffic shaping for noise reduction (optional)

A ferramenta esperará dois argumentos por entrada. Estes são a interface do sistema e o novo hostname que o usuário do Kali desejará.

O argumento responsável por ativar o traffic shaping é opcional. Pode não ser sempre necessário para o atacante. E o traffic shaping afetará a velocidade de download de arquivos, etc. no futuro. Use a redução de ruído com sabedoria.

caster@kali:~/F31$ sudo bash F31.sh --interface eth0 --new-hostname ubuntu --noise-reduction
███████ ██████   ██ 
██           ██ ███ 
█████    █████   ██ 
██           ██  ██ 
██      ██████   ██ 
                    
F31: Tool for hiding Kali Linux on the network
Author: Caster, @wearecaster, <[email protected]>
Version: 1.0.0
For instructions and an example of how to use it, visit: https://github.com/wearecaster/F31
[+] Tools are already installed.

[+] Changing hostname
[*] Hostname changed to ubuntu successfully.

[+] Enabling hostname transfer via DHCP
[*] Hostname through DHCP disabled successfully.

[+] Disabling NTP client
[*] NTP client shut down successfully.

[+] Increasing and shifting TTL (TTL=80)
[*] TTL values adjusted successfully.

[+] Configuring firewall
[*] Allowing established and chained connections, blocking invalid connections, restricting ICMP traffic, blocking unexpected TCP MSS values
[*] Firewall configuration successfully.

[+] Disabling ICMP Redirect
[*] ICMP Redirects disabled successfully.

[+] Changing MAC
[*] Randomize MAC configured successfully.

[+] Limit data rate to 30 kbit/s and latency 600ms to minimize noise in L2/L3 scanning.
[+] WARNING: This change will severely affect the speed of file downloads. Use this shaping exactly before scanning
[+] If necessary, adjust this value yourself
[*] Traffic shaping configured successfully.
[*] Script executed successfully.

Reverter alterações

Preparei um script especial para reverter todas as configurações feitas.

caster@kali:~/F31$ sudo bash reset.sh --interface eth0 --old-hostname kali
███████ ██████   ██ 
██           ██ ███ 
█████    █████   ██ 
██           ██  ██ 
██      ██████   ██ 
                    
F31: Tool for hiding Kali Linux on the network (Reset script)
Author: Caster, @wearecaster, <[email protected]>
Version: 1.0.0
For instructions and an example of how to use it, visit: https://github.com/wearecaster/F31

[+] Restoring MAC

[+] Enabling ICMP Redirect

[+] Disabling NTP client
[*] NTP client disabled successfully.

[+] Restoring firewall configuration

[+] Enabling hostname transfer via DHCP

[+] Resetting TTL (TTL=64)

[+] Restoring hostname

[+] Removing traffic shaping (noise reduction)
[+] Traffic shaping removed
[*] Reset script executed successfully

Conclusão

Esta ferramenta não é uma panaceia, você deve entender o que está fazendo na infraestrutura e evitar riscos o máximo possível.

F31