jackofmosttrades/blueboxKit de ferramentas automatizado de exploit para CVE-2015-6095 e CVE-2016-0049
Nota: este repositório faz referências a repositórios externos (conhecidos como submodules do Git). Após clonar este repositório, certifique-se de executar os seguintes comandos para clonar esses submodules:
git submodule init
git submodule update
BlueBox é uma coleção de scripts e configurações para a exploração automatizada de MS15-122 e MS16-014, (veja também CVE-2015-6095 e CVE-2016-0049).
Informações adicionais sobre esta vulnerabilidade podem ser encontradas na apresentação e whitepaper do BlackHat EU 2015 feitos sobre este tópico, ou na palestra atualizada apresentada na BSides Seattle 2015.
Este exploit permite que um atacante contorne a tela de login de máquinas Windows usando autenticação de domínio. Isso pode ser usado para ler os dados de um usuário, contornando as proteções de criptografia de disco completo, para atacar rapidamente máquinas desacompanhadas a fim de instalar um kit de acesso remoto ou outro malware, e pode ser usado para fazer qualquer uma das coisas acima sem colocar a máquina offline.
Para uma demonstração rápida, gravei os seguintes vídeos:
BlueBox: Ataque Oportunista a Laptop
BlueBox: Ataque Oportunista a Laptop
BlueBox: Ataque com Zero Downtime
Este repositório inclui alguns init-scripts e arquivos de configuração para implantação desses scripts em um sistema baseado em Debian (a demonstração acima mencionada roda no Raspbian, uma distribuição Debian para o Raspberry Pi). No entanto, não há necessidade específica de executar essas ferramentas nessa plataforma; você poderia facilmente configurar um laptop comum e um sistema operacional arbitrário para executar esses scripts Python e um servidor DHCP.
Os scripts no subdiretório init-scripts podem ser usados para iniciar os servidores maliciosos na inicialização; isso é particularmente útil ao utilizar um dispositivo dedicado headless (como o Raspberry Pi). Você pode colocar esses scripts em /etc/init.d e executar
update-rc.d evil-server-{dns,kdc,ldap,netbios} defaults
Este repositório tem configurações para dois estilos de implantação: como uma simples ferramenta de bypass da tela de bloqueio, ou como uma ferramenta de ataque zero-downtime. Mais descrições e instruções de configuração estão abaixo.
O uso pretendido desta configuração seria obter oportunisticamente acesso a uma estação de trabalho cliente, como um laptop desacompanhado. A implantação requer um servidor DHCP independente; um arquivo de configuração de exemplo para o ISC DHCP Server está disponível. Vários dos servidores maliciosos estão codificados para se referir à máquina atual no endereço IP 192.168.0.1, então uma configuração de rede de exemplo é incluída, que dá a eth0 esse IP estático.
Embora não seja necessário, você também pode optar por instalar um servidor FTP/HTTP na máquina host para servir um payload malicioso que possa ser executado pelo atacante na máquina vítima.
Esta configuração requer dois dispositivos ethernet físicos e permite que o dispositivo de ataque funcione como um man-in-the-middle. Esta configuração faz a ponte entre os dois dispositivos ethernet para permitir que o tráfego passe inalterado, tornando o dispositivo transparente na rede. No entanto, sua configuração netfilter redirecionará o tráfego Kerberos para o localhost (isto é, para o servidor malicioso), o que permite que um atacante contorne a tela de login de um servidor ativo.
Para implantar esta configuração, seus dispositivos ethernet devem ser configurados para serem colocados em ponte. A configuração requer o uso de netfilter na interface de ponte, então você precisa adicionar o módulo br_netfilter ao /etc/modules. Para configurar ebtables e iptables para sequestrar o tráfego Kerberos, você deve colocar a configuração ebtables no diretório /etc/network/if-up.d/, o script iptables no diretório /etc/network/if-pre-up.d/, e o arquivo iptables.up.rules em /etc.
Esta configuração também sequestra o tráfego HTTP destinado a 10.254.254.254 e o redireciona para um servidor local, que pode ser utilizado como uma forma conveniente de baixar um payload malicioso para a máquina vítima. Se fizer isso, a máquina também deve ter algum tipo de servidor web (ex.: apache2) instalado.