Powershell-RAT

Backdoor baseado em Python que usa o Gmail para exfiltrar dados como anexo de e-mail.

Este RAT ajudará alguém durante engajamentos de red team a backdoorar qualquer máquina Windows. Ele rastreia a atividade do usuário usando captura de tela e envia as informações para um atacante como anexo de e-mail.

Nota: Este trecho de código é Totalmente Indetectável (FUD) por softwares Anti-Vírus (AV).

Este projeto não deve ser usado para fins ilegais ou para invadir sistemas onde você não tem permissão. É estritamente para fins educacionais e para que as pessoas experimentem.

Quaisquer sugestões ou ideias para esta ferramenta são bem-vindas — basta me tweetar em @ManiarViral

Diagrama de Arquitetura do RAT

Captura de Tela

Na primeira execução do Powershell-RAT, o usuário verá as opções abaixo:

Usando a opção Hail Mary para backdoorar uma máquina Windows:

Capturando screenshots da atividade do usuário com sucesso:

Dados exfiltrados como anexo de e-mail usando o Gmail:

Minha máquina Windows não tem Python instalado, o que devo fazer?

• Compile o PowershellRAT.py em um executável usando Pyinstaller

• O PyInstaller está disponível no PyPI. Você pode instalá-lo via pip:

pip install pyinstaller

Configuração

• Endereço Gmail descartável
• Ative "Permitir aplicativos menos seguros" acessando https://myaccount.google.com/lesssecureapps
• Modifique as variáveis $username e $password para sua conta no arquivo Mail.ps1 do Powershell
• Modifique $msg.From e $msg.To.Add com o endereço Gmail descartável

Como usar?

• Pressione 1: Esta opção define a política de execução como irrestrita usando Set-ExecutionPolicy Unrestricted. Útil em máquinas de administrador.

• Pressione 2: Esta opção captura a tela atual da máquina do usuário usando o script Shoot.ps1 do Powershell

• Pressione 3: Esta opção backdoora a máquina do usuário usando schtasks e define o nome da tarefa como MicrosoftAntiVirusCriticalUpdatesCore

• Pressione 4: Esta opção envia um e-mail da máquina do usuário usando Powershell. Usa o arquivo Mail.ps1 para enviar a captura de tela como anexo e exfiltrar dados

• Pressione 5: Esta opção backdoora a máquina do usuário usando schtasks e define o nome da tarefa como MicrosoftAntiVirusCriticalUpdatesUA

• Pressione 6: Esta opção exclui as capturas de tela da máquina do usuário para permanecer furtivo

• Pressione 7: Esta opção backdoora a máquina do usuário usando schtasks e define o nome da tarefa como MicrosoftAntiVirusCriticalUpdatesDF

Perguntas?

Twitter: https://twitter.com/maniarviral LinkedIn: https://au.linkedin.com/in/viralmaniar

Contribuição e Licença

Este trabalho está licenciado sob uma Licença Creative Commons Atribuição 4.0 Internacional.
Quer contribuir? Por favor, faça um fork e envie um pull request.

Quaisquer sugestões ou ideias para esta ferramenta são bem-vindas — basta me tweetar em @ManiarViral

A Fazer

• Exfiltração criptografada via Gmail para derrotar a inspeção SSL
• Obter fotos da câmera frontal
• Gravar microfone