#IRONSQUIRREL

Этот проект направлен на доставку эксплойтов для браузеров жертве в зашифрованном виде. Для согласования ключей используется эллиптическая кривая Диффи-Хеллмана (secp256k1), а для шифрования — AES.

Доставляя код эксплойта (и шеллкод) жертве в зашифрованном виде, атаку невозможно воспроизвести (replay). При этом HTML/JS-исходный код зашифрован, что значительно усложняет обратную разработку эксплойта.

Если вы не понимаете, о чём я говорю, загуглите «How to hide your browser 0-days» и посмотрите мою презентацию. Или посмотрите её на YouTube: https://www.youtube.com/watch?v=eyMDd98uljI Или слайды на Slideshare: https://www.slideshare.net/bz98/how-to-hide-your-browser-0days

Идея зашифрованной доставки эксплойтов была впервые опубликована мной 2 июня 2015 года: https://twitter.com/zh4ck/status/605754804472823808 https://www.mrg-effitas.com/research/generic-bypass-of-next-gen-intrusion-threat-breach-detection-systems/

Ребята из Angler exploit kit просто украли мою идею. И реализовали её плохо.

Начало работы

Эти инструкции помогут вам получить копию проекта и запустить её на локальной машине для целей разработки и тестирования.

Предварительные требования

Обязательные зависимости — клонируйте проект IRONSQUIRREL, перейдите в каталог проекта и выполните следующие команды:

sudo apt-get install ruby-dev
bundle install

По факту будут установлены гемы nokogiri и gibberish.

Необязательная зависимость (для доставки зашифрованной полезной нагрузки с учётом окружения на основе Powershell): Ebowla https://github.com/Genetic-Malware/Ebowla

Установка

1. Клонируйте проект IRONSQUIRREL
2. Установите предварительные требования
3. (Необязательно) Отредактируйте IRONSQUIRREL.rb
   1. Измените порт прослушивания
   2. Если используется Ebowla, настройте пути
4. (Необязательно) Если используется Ebowla, настройте файл genetic.config.ecdh в каталоге установки Ebowla
5. Запустите IRONSQUIRREL.rb

ruby IRONSQUIRREL.rb --exploit полный_путь_к_эксплойту

Пример

ruby IRONSQUIRREL.rb --exploit /home/myawesomeusername/IRONSQUIRREL/exploits/alert.html

После этого посетите веб-сервер из браузера. Пример вывода:

Listening on 2345
GET / HTTP/1.1
GET /sjcl.js HTTP/1.1
GET /dh.js HTTP/1.1
GET /client_pub.html?cl=SOifQJetphU2CvFzZl239nKPYWRGEH23ermGMszo9oqOgqIsH5XxXi1vw4P4YFWDqK6v4o4jIpAVSNZD1x5NTw%3D%3D HTTP/1.1
GET /final.html HTTP/1.1
GET /sjcl.js HTTP/1.1
The end

Инструкции по развёртыванию для производственной среды

1. Дайте мне знать, если вы используете это по-настоящему
2. Потратьте как минимум 2 недели, чтобы понять, что может пойти не так

Участие в разработке

Присылайте исправления ошибок, запросы на добавление функций, комментарии...

Авторы

• Zoltan Balazs (@zh4ck) - Первоначальная работа

Лицензия

Этот проект лицензирован под лицензией GPL3 — подробнее в файле LICENSE.md

Благодарности

• @CrySySLab
• @SpamAndHex
• @molnar_g
• @midnite_runr
• @buherator
• @sghctoma
• @zmadarassy
• @xoreipeip
• @DavidSzili
• @theevilbit
• Szimeus