Persistence Survivability Rating

Este projeto utiliza a persistência no estilo Duque como TTP e foi apresentado na Bsides Augusta – RAT. Este projeto é baseado em PowerShell e pode ser utilizado com credenciais ou sem elas. Para mais informações, leia o arquivo .ps1.

Uso básico:

Invoke-FindPersitence 
Invoke-FindPersitence -MaxHosts 100 -Top 5
Invoke-FindPersitence -Domain tester.org -OperatingSystem *7*
Invoke-FindPersitence -Domain tester.org -OperatingSystem *2008* -Top 3 -Jit 2 -Delay 5 -ADSPath "LDAP://OU=iis=servers=,DC=testlab,DC=Local" -Threads 10

Demonstração / Slides:

• http://www.slideshare.net/AlexanderRymdekoHarv/rat-repurposing-adversarial-tradecraft
• https://youtu.be/VDwxhkIK4TY

Como funciona:

Caminho de construção

Consultas remotas suportadas atualmente com base em valor:

Consulta	Valor ponderado	implementado
WmiBootTime	40%	Sim
WmiInstallDate	5%	Sim
WmiOS	5%	Sim
WmiServer	10%	Sim
WmiRamSize	5%	Sim
WmiArch	5%	Sim
WmiDisk	5%	Sim
WmiLProcessorCount	5%	Sim
WmiProcessorCores	5%	Sim
WmiProcessorSpeed	5%	Sim
WmiProcessCount	5%	Sim
WmiSystemEnclosure	10%	Sim
WmiLoggedOnUsers	centralizado	Não
WmiCollectorService	centralizado	Não
WmiNICData	centralizado	Não
WmiAVQuery	centralizado	Não
WmiPowerSettings	centralizado	Não
WmiOSuite	centralizado	Não
WmiPointerDevice	centralizado	Não

Consultas remotas suportadas atualmente com base booleana:

Consulta	Impacto	implementado
WmiPortableOS	Local do implante	Sim
WmiVMChecks	Veracidade dos dados	Sim
WmiLogging	Alertas no log	Não

Exemplo de saída:

PS C:\Users\Administrator\Desktop>  Invoke-FindPersitence 
[*] Top Server locations based on Persistence Survivability rating: 
[*] Top Desktop locations based on Persistence Survivability rating: 
[*] Top VM locations based on Persistence Survivability rating: 


NetBIOSName              : ALEX32-PC.tester.org
IpAddress                : 172.16.168.136
LastBoot                 : 20160509061014.500000-420
InstallDate              : 20150707115729.000000-420
OSArch                   : 64-bit
ServerType               : 1
SystemEnclosure          : 1
RamSize                  : 2
DiskSize                 : 38.6479606628418
ProcessorSpeed           : 2999
ProcessorLogicalCores    : 1
ProcessorCores           : 1
ProcessCount             : 38
PortableOS               : 
VMware                   : True
LastBootV                : 0.3
InstallDateV             : 0.4
OSArchV                  : 0.3
ServerTypeV              : 0.33
SystemEnclosureV         : 0.1
DiskSizeV                : 0.3
RamSizeV                 : 0.5
ProcessorSpeedV          : 1
ProcessorLogicalCoreV    : 0.3
ProcessCountV            : 1
LastBootWV               : 0.12
InstallDateWV            : 0.02
OSArchWV                 : 0.015
ServerTypeWV             : 0.033
SystemEnclosureWV        : 0.01
DiskSizeWV               : 0.015
RamSizeWV                : 0.1
ProcessorSpeedWV         : 0.05
ProcessorLogicalCoreWV   : 0.015
ProcessCountWV           : 0.05
PersistenceSurvivability : 0.378

NetBIOSName              : ALEX2-PC.tester.org
IpAddress                : 172.16.168.160
LastBoot                 : 20160508162848.500000-420
InstallDate              : 20150707115729.000000-420
OSArch                   : 64-bit
ServerType               : 1
SystemEnclosure          : 1
RamSize                  : 2
DiskSize                 : 48.5253257751465
ProcessorSpeed           : 2999
ProcessorLogicalCores    : 1
ProcessorCores           : 1
ProcessCount             : 32
PortableOS               : 
VMware                   : True
LastBootV                : 0.3
InstallDateV             : 0.4
OSArchV                  : 0.3
ServerTypeV              : 0.33
SystemEnclosureV         : 0.1
DiskSizeV                : 0.3
RamSizeV                 : 0.5
ProcessorSpeedV          : 1
ProcessorLogicalCoreV    : 0.3
ProcessCountV            : 1
LastBootWV               : 0.12
InstallDateWV            : 0.02
OSArchWV                 : 0.015
ServerTypeWV             : 0.033
SystemEnclosureWV        : 0.01
DiskSizeWV               : 0.015
RamSizeWV                : 0.1
ProcessorSpeedWV         : 0.05
ProcessorLogicalCoreWV   : 0.015
ProcessCountWV           : 0.05
PersistenceSurvivability : 0.378

NetBIOSName              : WIN-2PNK85BO0TD.tester.org
IpAddress                : {fe80::9a7:551a:2614:ae6c%12, 172.16.168.223}
LastBoot                 : 20160227200724.489034-480
InstallDate              : 20150707115648.000000-420
OSArch                   : 64-bit
ServerType               : 2
SystemEnclosure          : 1
RamSize                  : 2
DiskSize                 : 43.868766784668
ProcessorSpeed           : 2999
ProcessorLogicalCores    : 1
ProcessorCores           : 1
ProcessCount             : 73
PortableOS               : False
VMware                   : True
LastBootV                : 0.85
InstallDateV             : 0.4
OSArchV                  : 0.3
ServerTypeV              : 0.66
SystemEnclosureV         : 0.1
DiskSizeV                : 0.3
RamSizeV                 : 0.5
ProcessorSpeedV          : 1
ProcessorLogicalCoreV    : 0.3
ProcessCountV            : 1
LastBootWV               : 0.34
InstallDateWV            : 0.02
OSArchWV                 : 0.015
ServerTypeWV             : 0.066
SystemEnclosureWV        : 0.01
DiskSizeWV               : 0.015
RamSizeWV                : 0.1
ProcessorSpeedWV         : 0.05
ProcessorLogicalCoreWV   : 0.015
ProcessCountWV           : 0.05
PersistenceSurvivability : 0.631

[*] Overall Persistence Survivability stats: 
    Total number of hosts:  3
    Total VMware hosts:  3
    Total Desktop hosts:  0
    Total Server hosts:  0
    Survivability mean:  46 %

licença

Arquivo: Persistence-Survivability Autor: Alexander Rymdeko-Harvey(@Killswitch-GUI) Licença: BSD 3-Clause

Copyright (c) 2016, Alexander Rymdeko-Harvey Todos os direitos reservados.

A redistribuição e o uso em formas de código-fonte e binárias, com ou sem modificação, são permitidos desde que as seguintes condições sejam atendidas:

• As redistribuições de código-fonte devem manter o aviso de direitos autorais acima, esta lista de condições e o aviso de isenção de responsabilidade a seguir.
• As redistribuições em formato binário devem reproduzir o aviso de direitos autorais acima, esta lista de condições e o aviso de isenção de responsabilidade a seguir na documentação e/ou em outros materiais fornecidos com a distribuição.
• Nem o nome de nem os nomes de seus contribuidores podem ser usados para endossar ou promover produtos derivados deste software sem permissão prévia específica por escrito.