F31: Скрытие Kali Linux

F31 — это bash-скрипт, который укрепляет вашу Kali Linux и позволяет минимизировать шум в эфире. Полезен для пентестеров или операторов Red Team, где важно оказывать минимальное воздействие на инфраструктуру, чтобы избежать проблем с производительностью сети.

Инструмент не гарантирует вам полное уклонение от SOC, так как сетевые инфраструктуры различаются, и каждый случай анализа безопасности уникален. Основная цель F31 — минимизировать шум в эфире.

Отказ от ответственности

Эта статья и инструмент носят ознакомительный характер и предназначены для специалистов по безопасности, проводящих тестирование по контракту. Распространение вредоносного ПО, нарушение работы систем и нарушение тайны переписки будут преследоваться по закону. Автор не несёт ответственности за любой ущерб, причинённый этим инструментом.

Механика

Скрипт выполняет следующие операции:

1. Установка необходимых инструментов. iptables для настройки FW, tc из пакета iproute2 для шейпинга трафика и macchanger для смены MAC
2. Смена hostname. Да, смена hostname на Kali может показаться обыденным делом, но стандартный hostname Kali — один из главных триггеров. Всегда следует менять стандартный hostname на какой-либо другой
3. Отключение передачи hostname через DHCP в конфигурации Network Manager "Wired Connection". Обратите внимание, что F31 обращается к файлу /etc/NetworkManager/system-connections/Wired\ connection\ 1
4. Увеличение TTL и смещение TTL +1 для обхода трассировки пакетов во время MITM-атаки
5. Отключение NTP-клиента
6. Настройка межсетевого экрана. Разрешение установленных и связанных соединений, блокировка недействительных соединений, ограничение трафика ICMP, блокировка неожиданных значений TCP MSS
7. Отключение ICMP Redirect. Системы безопасности IDS/IPS могут срабатывать на сообщения ICMP Redirect, что может раскрыть атакующего.
8. Рандомизация MAC-адреса. Классика жанра.
9. Шейпинг трафика. Минимизирует шум для аккуратной работы сканеров, чтобы не перегружать сетевое оборудование. Ограничения до 30 Кбит/с, задержка 800 мс

Как использовать

Достаточно просто: клонируйте репозиторий, дайте bash-скриптам права на выполнение.

caster@kali:~$ git clone https://github.com/wearecaster/F31
caster@kali:~$ cd F31/
caster@kali:~/F31$ chmod +x F31.sh reset.sh

F31 требует прав root для запуска

caster@kali:~$ sudo bash F31.sh
███████ ██████   ██ 
██           ██ ███ 
█████    █████   ██ 
██           ██  ██ 
██      ██████   ██ 
                    
F31: Tool for hiding Kali Linux on the network
Author: Caster, @wearecaster, <[email protected]>
Version: 1.0.0
For instructions and an example of how to use it, visit: https://github.com/wearecaster/F31
Usage: F31.sh --interface <interface> --new-hostname <hostname> [--noise-reduction]

Options:
  --interface       Specify the network interface to hide
  --new-hostname    Specify the new hostname for the system
  --noise-reduction Enable traffic shaping for noise reduction (optional)

Инструмент ожидает два аргумента на вход. Это системный интерфейс и новый hostname, который захочет пользователь Kali.

Аргумент, отвечающий за активацию шейпинга трафика, является необязательным. Он может понадобиться атакующему не всегда. И шейпинг трафика повлияет на скорость загрузки файлов и т.д. в дальнейшем. Используйте снижение шума с умом.

caster@kali:~/F31$ sudo bash F31.sh --interface eth0 --new-hostname ubuntu --noise-reduction
███████ ██████   ██ 
██           ██ ███ 
█████    █████   ██ 
██           ██  ██ 
██      ██████   ██ 
                    
F31: Tool for hiding Kali Linux on the network
Author: Caster, @wearecaster, <[email protected]>
Version: 1.0.0
For instructions and an example of how to use it, visit: https://github.com/wearecaster/F31
[+] Tools are already installed.

[+] Changing hostname
[*] Hostname changed to ubuntu successfully.

[+] Enabling hostname transfer via DHCP
[*] Hostname through DHCP disabled successfully.

[+] Disabling NTP client
[*] NTP client shut down successfully.

[+] Increasing and shifting TTL (TTL=80)
[*] TTL values adjusted successfully.

[+] Configuring firewall
[*] Allowing established and chained connections, blocking invalid connections, restricting ICMP traffic, blocking unexpected TCP MSS values
[*] Firewall configuration successfully.

[+] Disabling ICMP Redirect
[*] ICMP Redirects disabled successfully.

[+] Changing MAC
[*] Randomize MAC configured successfully.

[+] Limit data rate to 30 kbit/s and latency 600ms to minimize noise in L2/L3 scanning.
[+] WARNING: This change will severely affect the speed of file downloads. Use this shaping exactly before scanning
[+] If necessary, adjust this value yourself
[*] Traffic shaping configured successfully.
[*] Script executed successfully.

Откат изменений

Я подготовил специальный скрипт для отката всех внесённых настроек.

caster@kali:~/F31$ sudo bash reset.sh --interface eth0 --old-hostname kali
███████ ██████   ██ 
██           ██ ███ 
█████    █████   ██ 
██           ██  ██ 
██      ██████   ██ 
                    
F31: Tool for hiding Kali Linux on the network (Reset script)
Author: Caster, @wearecaster, <[email protected]>
Version: 1.0.0
For instructions and an example of how to use it, visit: https://github.com/wearecaster/F31

[+] Restoring MAC

[+] Enabling ICMP Redirect

[+] Disabling NTP client
[*] NTP client disabled successfully.

[+] Restoring firewall configuration

[+] Enabling hostname transfer via DHCP

[+] Resetting TTL (TTL=64)

[+] Restoring hostname

[+] Removing traffic shaping (noise reduction)
[+] Traffic shaping removed
[*] Reset script executed successfully

Заключение

Этот инструмент не является панацеей, вы должны понимать, что делаете в инфраструктуре, и максимально избегать риска.