NachoVPN 🌮🔒

NachoVPN — это Proof of Concept, демонстрирующий эксплуатацию SSL-VPN клиентов с помощью поддельного VPN-сервера.

Он использует плагинную архитектуру, чтобы сообщество могло добавлять поддержку дополнительных SSL-VPN продуктов. В настоящее время поддерживаются различные популярные корпоративные VPN-продукты, такие как Cisco AnyConnect, SonicWall NetExtender, Palo Alto GlobalProtect и Ivanti Connect Secure.

Более подробную информацию см. в нашем посте в блоге и презентации с HackFest Hollywood 2024 [слайды|видео].

Установка

Предварительные требования

• Python 3.9 или новее
• Docker (опционально)
• osslsigncode (только Linux)
• msitools (только Linux)
• python3-netfilter (только Linux)
• git

Настройка Linux

NachoVPN собран и протестирован на Ubuntu 22.04.

• Установите python3-nftables и nftables

• При желании используйте setcap, чтобы избежать требования sudo:

  root@kitploit:~

  sudo setcap 'cap_net_raw,cap_net_bind_service,cap_net_admin=eip' /usr/bin/python3.10
  

• Включите пересылку IP:

  root@kitploit:~

  sudo sysctl -w net.ipv4.ip_forward=1
  

Установка из исходного кода

NachoVPN можно установить из GitHub с помощью pip. Обратите внимание, что для этого требуется установленный git.

Сначала создайте виртуальное окружение.

В Linux убедитесь, что виртуальное окружение имеет доступ к системным site-packages, чтобы работал nftables:

python3 -m venv env --system-site-packages
source env/bin/activate

В Windows nftables (а следовательно, и пересылка пакетов) отключён, поэтому используйте:

python -m venv env
.\env\Scripts\activate

Затем установите NachoVPN:

pip install git+https://github.com/AmberWolfCyber/NachoVPN.git

Если вы предпочитаете использовать Docker, вы можете загрузить контейнер из GitHub Container Registry:

docker pull ghcr.io/AmberWolfCyber/nachovpn:release

Сборка для распространения

Сборка wheel-файла

Сначала клонируйте этот репозиторий и установите setuptools и wheel через pip. Затем вы можете запустить скрипт setup.py:

git clone https://github.com/AmberWolfCyber/NachoVPN
pip install -U setuptools wheel
python setup.py bdist_wheel

Это создаст wheel-файл в каталоге dist, который можно установить с помощью pip:

pip install dist/nachovpn-1.0.0-py3-none-any.whl

Сборка для локальной разработки

В качестве альтернативы для локальной разработки вы можете установить пакет в режиме редактирования:

pip install -e .

Сборка образа контейнера

Вы можете собрать образ контейнера следующей командой:

docker build -t nachovpn:latest .

Запуск

Чтобы запустить сервер автономно, используйте:

python -m nachovpn.server

В качестве альтернативы вы можете запустить сервер с помощью Docker:

docker run -e SERVER_FQDN=connect.nachovpn.local -e EXTERNAL_IP=1.2.3.4 -v ./certs:/app/certs -p 80:80 -p 443:443 --rm -it nachovpn

При этом будет создан сертификат для SERVER_FQDN с помощью certbot и сохранён в каталог certs, который мы смонтировали в контейнер.

В качестве альтернативы для целей тестирования вы можете пропустить генерацию сертификата, установив переменную окружения SKIP_CERTBOT.

В этом случае будет создан самозаверяющий сертификат.

docker run -e SERVER_FQDN=connect.nachovpn.local -e SKIP_CERTBOT=1 -e EXTERNAL_IP=1.2.3.4 -p 443:443 --rm -it nachovpn

Для удобства также предоставлен пример docker-compose файла.

Отладка

Вы можете запустить nachovpn с аргументами командной строки -d или --debug, чтобы увеличить подробность журналирования, что может помочь в отладке.

Если же журналирование слишком подробное, вместо этого можно использовать аргумент командной строки q или --quiet.

Плагины

NachoVPN поддерживает следующие плагины и возможности:

URI-обработчики

• URI-обработчик Ivanti Connect Secure (Pulse Secure) можно вызвать, посетив URL /pulse на сервере NachoVPN.
• URI-обработчик SonicWall NetExtender можно вызвать, посетив URL /sonicwall на сервере NachoVPN. Для этого на клиентской машине должен быть установлен SonicWall Connect Agent.
• URI-обработчик Delinea можно вызвать, посетив URL /delinea на сервере NachoVPN.

Примечания по эксплуатации

• Рекомендуется использовать TLS-сертификат, подписанный доверенным центром сертификации. Docker-контейнер автоматизирует этот процесс с помощью certbot. Если вы не используете доверенный сертификат, NachoVPN вместо этого сгенерирует самозаверяющий сертификат, что в большинстве случаев приведёт либо к предупреждению о сертификате у клиента, либо к отказу от подключения, если не изменить настройки клиента для приёма самозаверяющих сертификатов. Для плагина Palo Alto GlobalProtect это также приведёт к сбою установщика MSI.
• Чтобы имитировать действительный сертификат подписи кода для плагина SonicWall, NachoVPN подпишет полезную нагрузку NACAgent.exe самозаверяющим сертификатом. Для целей тестирования вы можете загрузить и установить этот CA-сертификат с /sonicwall/ca.crt перед запуском эксплуатации. Для производственных сценариев необходимо получить действительный сертификат подписи кода от публичного центра сертификации, подписать вашу полезную нагрузку NACAgent.exe и поместить её в каталог payloads (или смонтировать её в /app/payloads томом, если вы используете Docker).
• Для удобства для плагина SonicWall генерируется полезная нагрузка NACAgent.exe по умолчанию и записывается в каталог payloads. Она просто запускает новый процесс cmd.exe на рабочем столе текущего пользователя от имени SYSTEM.
• Плагин Palo Alto GlobalProtect требует, чтобы установщики MSI и файл присутствовали в каталоге . Добавьте их вручную или запустите скрипт для их загрузки.

Отключение плагина

Чтобы отключить плагин, добавьте его в переменную окружения DISABLED_PLUGINS. Например:

DISABLED_PLUGINS=CiscoPlugin,SonicWallPlugin

Переменные окружения

NachoVPN настраивается с помощью переменных окружения. Это обеспечивает лёгкую совместимость с контейнерными развёртываниями.

Глобальные переменные окружения:

Переменные окружения для конкретных плагинов:

Меры защиты

Мы рекомендуем следующие меры защиты:

• Убедитесь, что SSL-VPN клиенты обновлены до последней версии, доступной у вендора.
• Большинство VPN-клиентов поддерживают возможность привязки VPN-профиля к конкретной конечной точке или использование режима постоянного VPN (always-on). Это следует включать там, где возможно.
• К сожалению, в некоторых случаях злоумышленный локальный пользователь может снять эту блокировку, поэтому также рекомендуется использовать межсетевые правила на хосте для ограничения IP-адресов, с которыми может взаимодействовать VPN-клиент.
• Рассмотрите возможность использования политики контроля приложений, такой как WDAC, или EDR-решения, чтобы гарантировать, что только одобренные исполняемые файлы и скрипты могут выполняться VPN-клиентом.
• Обнаруживайте и сигнализируйте о выполнении VPN-клиентами нестандартных дочерних процессов.

Ссылки

• Блог AmberWolf: NachoVPN
• HackFest Hollywood 2024: Very Pwnable Networks: Exploiting the Top Corporate VPN Clients for Remote Root and SYSTEM Shells, Rich Warren & David Cash [видео]
• BlackHat 2008: Leveraging the Edge: Abusing SSL VPNs, Mike Zusman
• BlackHat 2019: Infiltrating Corporate Intranet Like NSA, Orange Tsai & Meh Chang
• NCC Group: Making New Connections: Leveraging Cisco AnyConnect Client to Drop and Run Payloads, David Cash & Julian Storr
• The OpenConnect Project

Участие в разработке

Мы приветствуем ваш вклад! Пожалуйста, открывайте issue или создавайте Pull Request.

Если вы заинтересованы в разработке нового плагина, вы можете посмотреть на ExamplePlugin, чтобы начать.

Лицензия

NachoVPN распространяется под лицензией MIT. Подробности см. в файле LICENSE.