RedWarden - Гибкий перенаправляющий сервер для CobaltStrike Malleable

(ранее известный как proxy2's плагин malleable_redirector)

Повысим планку устойчивости перенаправляющих серверов C2 к IR, не так ли?

В сфере Red Teaming было несколько разных отличных идей о том, как бороться с incident responders и вводить их в заблуждение, одновременно создавая устойчивую сеть перенаправляющих серверов C2.

Эта работа объединяет многие из этих отличных идей в одну легковесную утилиту, подражающую Apache2 в своей основе — простого HTTP(S) обратного прокси.

Сочетание понимания Malleable C2 профилей, знания пула плохих IP-адресов и гибкости легкого добавления новой логики проверки и ошибочной маршрутизации привело к созданию хитрого средства отпугивания IR-проверок.

Если любой недопустимый входящий пакет достигает RedWarden, вы можете redirect, reset или просто proxy его убрать!

Краткое описание

Эта программа действует как HTTP/HTTPS обратный прокси с несколькими ограничениями, наложенными на входящие C2 HTTP запросы, выбирая, какие пакеты направлять на Teamserver, а какие отбрасывать, аналогично ограничениям файла .htaccess в Apache2 с mod_rewrite.

RedWarden был создан для решения проблемы обхода IR/AV/EDR/Sandboxes на уровне перенаправляющего сервера C2. Он призван заменить классические конфигурации Apache2 + mod_rewrite, используемые для этой цели.

Возможности:

• Парсер Malleable C2 Profile, способный строго проверять входящие HTTP/S запросы в соответствии с контрактом malleable и отбрасывать выходящие за рамки пакеты в случае нарушения (Malleable Profiles 4.0+ с покрытием вариантов)
• Возможность очистки/восстановления неожиданных и нежелательных HTTP-заголовков, добавленных промежуточными системами, такими как прокси и кэши (например, CloudFlare), для соответствия действительному контракту Malleable.
• Интегрированный тщательно подобранный большой черный список пулов и диапазонов IPv4, известных как связанные с поставщиками IT-безопасности
• Журналы с возможностью поиска grep (в форматах комбинированного журнала доступа Apache2 и пользовательского формата RedWarden), полезные для отслеживания событий/проблем подключения пиров.
• Возможность запрашивать IPv4-адрес подключающегося пира в информации IP-геолокации/whois и сравнивать с предопределенными регулярными выражениями, чтобы исключить пиров, подключающихся из-за пределов доверенных организаций/стран/городов и т.д.
• Встроенная защита от атак повторного воспроизведения: регистрация MD5-хешей принятых запросов в локальной базе данных SQLite и предотвращение повторного принятия ранее принятых запросов.
• Позволяет определять операторы ProxyPass для перенаправления запросов, соответствующих определенному URL, на другие хосты.
• Поддержка нескольких Teamserver
• Поддержка множества хостов обратного прокси/сайтов перенаправления, выдаваемых в случайном порядке, что позволяет балансировать трафик или создавать более универсальную инфраструктуру
• Может исправлять HTTP-пакеты в соответствии с ожидаемым контрактом malleable, если некоторые заголовки были повреждены при передаче
• Бессонные ночи, потраченные на поиск причины "почему мой Beacon не работает через CloudFlare/CDN/Domain Fronting", теперь остались в прошлом благодаря подробным многословным журналам HTTP(S) запросов/ответов

RedWarden принимает на вход Malleable C2 профиль и hostname:port teamserver. Затем он анализирует предоставленные разделы malleable профиля для понимания контракта и пропускает только те входящие запросы, которые ему удовлетворяют, направляя остальные не туда.

Такие разделы, как http-stager, http-get, http-post и соответствующие им uri, заголовки, шаблоны prepend/append, User-Agent используются для различения легитимного запроса beacon-а и постороннего интернет-шума или IR/AV/EDR запросов.

Программа использует замечательные известные плохие диапазоны IP от: curi0usJack и другие: https://gist.github.com/curi0usJack/971385e8334e189d93a6cb4671238b10

Использование черного списка IP-адресов вместе с поиском известных плохих ключевых слов через обратные DNS-запросы Reverse-IP и проверку HTTP-заголовков повышает надежность и существенно увеличивает устойчивость перенаправляющего сервера к неавторизованным пирам, желающим изучить инфраструктуру атакующего.

Недействительные пакеты могут быть перенаправлены не туда в соответствии с тремя стратегиями:

• redirect: Просто перенаправить пира на другие веб-сайты, например, Rick Roll.
• reset: Немедленно закрыть TCP-соединение.
• proxy: Получить ответ с другого веб-сайта, чтобы максимально точно имитировать клонированный/взломанный веб-сайт.

Эта конфигурация задается в файле конфигурации:```yaml

What to do with the request originating not conforming to Beacon, whitelisting or

ProxyPass inclusive statements:

- 'redirect' it to another host with (HTTP 301),

- 'reset' a TCP connection with connecting client

- 'proxy' the request, acting as a reverse-proxy against specified action_url

(may be dangerous if client fetches something it shouldn't supposed to see!)

Valid values: 'reset', 'redirect', 'proxy'.

Default: redirect

drop_action: redirect

Ниже пример показывает результат `redirect` на `https://googole.com`:

![redirect](https://assets.kitploit.com/production/public/readmes/4322/2ac28c863e766b5aaa2f225c33c225075c7042383d9c51860342a4da63cc6dcd.png)


Используйте с умом, оставайтесь в безопасности.

### Требования

Эта программа может работать только на Linux-системах, так как она использует fork для порождения множества процессов.

Также ожидается, что установлена системная команда `openssl`, так как она используется для генерации SSL-сертификатов.

Наконец, установите все зависимости Python3 PIP легко с помощью:```shell
bash $ sudo pip3 install -r requirements.txt

Использование

Пример использования