Shell Reverso Assíncrono HTTP/S

✨ Introdução

Numa era em que sistemas avançados de deteção como IDS, IPS, EDR, AV e firewalls dominam as redes corporativas, escapar deles durante avaliações ofensivas de segurança é um desafio. A maioria dos shells reversos utilizam túneis TCP (L4), que são agora rotineiramente analisados e sinalizados.

Este projeto apresenta uma solução inovadora: um shell reverso completamente assíncrono sobre HTTP/S que se mistura no tráfego web normal imitando o comportamento legítimo do utilizador.

Ao contrário dos shells reversos tradicionais, ele utiliza apenas pedidos GET, aparece como consultas web normais e pode opcionalmente correr sobre HTTPS com um certificado legítimo falso, minimizando as hipóteses de deteção.

Como funciona?

1. A aplicação cliente é executada na máquina alvo.
2. O cliente inicia a conexão com o servidor.
3. O servidor aceita a conexão - então:

O cliente consulta o servidor até obter instruções.
O atacante fornece instruções ao servidor.
Quando um comando é definido, o cliente executa-o e retorna o resultado.
E assim sucessivamente, até o atacante decidir terminar a sessão.

Aviso Legal

Esta ferramenta destina-se apenas a ser uma ferramenta de demonstração de prova de conceito para testes de segurança autorizados. Certifique-se de verificar as suas leis locais antes de executar esta ferramenta.

🔧 Funcionalidades

Hoje, como prova de conceito, as seguintes funcionalidades estão implementadas:

• Comunicação furtiva apenas com GET.
• Imita tráfego do Bing.com.
• Comandos codificados em Base64 no HTML.
• Exfiltração via cookies HTTP.
• HTTPS opcional com certificado falsificado.
• Atrasos aleatórios e modelos por pedido.
• Reutilização de um único processo PowerShell para evadir EDR.
• Compatível com comandos CMD e PowerShell.
• Popup opcional de mensagem de erro falsa.
• Oculto do Gestor de Tarefas.
• Execução opcional ao nível de administrador.

🎥 Demonstração

Lado do cliente

Lado do servidor

⚙️ Configuração

Cliente (C#)

1. Abra HARS.sln no Visual Studio.
2. Edite Config.cs para corresponder ao seu ambiente:

    class Config
        {
            /* Behavior */
            // Display a fake error msg at startup
            public static bool DisplayErrorMsg = true;
            // Title of fake error msg
            public static string ErrorMsgTitle = "This application could not be started.";
            // Description of fake error msg
            public static string ErrorMsgDesc = "Unhandled exception has occured in your application. \r\r Object {0} is not valid.";
            // Min delay between the client calls
            public static int MinDelay = 2;
            // Max delay between the client calls
            public static int MaxDelay = 5;
            // Fake uri requested - Warning : it must begin with "search" (or need a change on server side)
            public static string Url = "search?q=search+something&qs=n&form=QBRE&cvid=";
            /* Listener */
            // Hostname/IP of C&C server
            public static string Server = "https://127.0.0.1";
            // Listening port of C&C server
            public static string Port = "443";
            // Allow self-signed or "unsecure" certificates - Warning : often needed in corporate environment using proxy
            public static bool AllowInsecureCertificate = true;
        }

Opcional: Edite HARS.manifest para ajustar o nível de privilégio.

requestedExecutionLevel pode ser definido como asInvoker, highestAvailable ou requireAdministrator.

Propriedades do projeto

Aqui pode personalizar as informações do assembly e um ícone para o ficheiro.

Nota: A versão alvo do .NET framework está definida para 4.6, que está disponível por defeito no Windows 10.
Para Windows 7, escolha .NET 3.5 se não quiser ter que instalar funcionalidades em falta.

Compilação

Compile o projeto a partir do Visual Studio. O cliente deve ser gerado na pasta Http Asynchronous Reverse Shell\HARS_Client\HARS\bin\Release.

Feito!

Servidor (Python)

1. Edite HARS_Server.py em HARS_Server/www/ para personalizar a porta ou o caminho do certificado.

PORT = 443
CERT_FILE = '../server.pem'

2. Execute com:

python HARS_Server.py

Notas

• Os logs HTTP estão localizados em Http Asynchronous Reverse Shell\HARS_Server\logs\
• Pode adicionar os seus próprios modelos (qualquer página html) em Http Asynchronous Reverse Shell\HARS_Server\templates

🔗 Referências

• RSA NetWitness Detection Review by Lee Kirkpatric
• Deep Dive Analysis by Nasreddine Bencherchali

@onSec-fr