Sticky Keys Hunter

Este script bash de POC testa backdoors de sticky keys e utilman. O script se conecta a um servidor RDP, envia ambos os gatilhos de sticky keys e utilman e captura a tela do resultado.

Este script foi escrito para provar uma teoria que eu tinha sobre detectar esses backdoors de forma blackbox, e não foi atualizado desde que escrevi meu post no blog, Hunting Sticky Keys Backdoors. No entanto, @DennisMald e @notmedic avançaram esta pesquisa e lançaram a ferramenta Sticky Keys Slayer em sua apresentação na DEF CON 24, Sticky Keys To The Kingdom. Confira a ferramenta deles, pois ela tem muitas melhorias em relação a este script de POC.

Como funciona?

1. Conecta-se ao RDP usando rdesktop
2. Envia shift 5 vezes usando xdotool para acionar backdoors do sethc.exe
3. Envia Windows+u usando xdotool para acionar backdoors do utilman.exe
4. Captura a tela
5. Encerra a conexão RDP

Pré-requisitos

1. Host Linux executando um servidor X
2. Os seguintes pacotes: xdotool imagemagick rdesktop bc 3. Instalação no Debian/Ubuntu/Kali: apt-get install xdotool imagemagick rdesktop bc
3. A tela não pode estar bloqueada durante este processo, caso contrário todas as capturas de tela ficarão pretas

Uso

Escaneie um único host: ./stickyKeysHunter.sh 192.168.1.10

Escaneie múltiplos hosts: for i in $(cat list.txt); do ./stickyKeysHunter.sh "${i}"; done

TODO

1. Analisar automaticamente as capturas de tela com OCR ou processamento de imagem para identificar backdoors.
2. Acelerar/multithread a ferramenta.