Powershell-RAT

Бэкдор на Python, использующий Gmail для эксфильтрации данных в виде вложения электронной почты.

Этот RAT поможет кому-то во время red team-задач внедрить бэкдор на любую машину Windows. Он отслеживает активность пользователя с помощью захвата экрана и отправляет информацию атакующему в виде вложения электронной почты.

Примечание: данный код полностью необнаруживаем (FUD) антивирусным ПО (AV).

Этот проект нельзя использовать в незаконных целях или для взлома систем, на которые у вас нет разрешения. Он предназначен строго для образовательных целей и для экспериментов.

Любые предложения или идеи для этого инструмента приветствуются — просто напишите мне в Twitter @ManiarViral

Диаграмма архитектуры RAT

Скриншот

При первом запуске Powershell-RAT пользователь увидит следующие опции:

Использование опции Hail Mary для установки бэкдора на машину Windows:

Успешный захват скриншотов активности пользователя:

Данные, эксфильтрированные в виде вложения электронной почты через Gmail:

На моей машине Windows не установлен Python, что делать?

• Скомпилируйте PowershellRAT.py в исполняемый файл с помощью Pyinstaller

• PyInstaller доступен на PyPI. Вы можете установить его через pip:

pip install pyinstaller

Настройка

• Одноразовый адрес Gmail
• Включите «Разрешить менее безопасные приложения», перейдя по адресу https://myaccount.google.com/lesssecureapps
• Измените переменные $username и $password для вашей учётной записи в файле Powershell Mail.ps1
• Измените $msg.From и $msg.To.Add на одноразовый адрес Gmail

Как это использовать?

• Нажмите 1: Эта опция устанавливает политику выполнения в «без ограничений» с помощью Set-ExecutionPolicy Unrestricted. Это полезно на машине администратора

• Нажмите 2: Делает скриншот текущего экрана на машине пользователя с помощью скрипта Powershell Shoot.ps1

• Нажмите 3: Эта опция внедряет бэкдор на машину пользователя с помощью schtasks, устанавливая имя задачи MicrosoftAntiVirusCriticalUpdatesCore

• Нажмите 4: Эта опция отправляет электронное письмо с машины пользователя через Powershell. Используется файл Mail.ps1 для отправки скриншота в качестве вложения для эксфильтрации данных

• Нажмите 5: Эта опция внедряет бэкдор на машину пользователя с помощью schtasks, устанавливая имя задачи MicrosoftAntiVirusCriticalUpdatesUA

• Нажмите 6: Эта опция удаляет скриншоты с машины пользователя для сохранения скрытности

• Нажмите 7: Эта опция внедряет бэкдор на машину пользователя с помощью schtasks, устанавливая имя задачи MicrosoftAntiVirusCriticalUpdatesDF

Вопросы?

Twitter: https://twitter.com/maniarviral LinkedIn: https://au.linkedin.com/in/viralmaniar

Вклад и лицензия

Эта работа лицензирована в соответствии с Международной лицензией Creative Commons Attribution 4.0.
Хотите внести вклад? Пожалуйста, сделайте форк и отправьте pull request.

Любые предложения или идеи для этого инструмента приветствуются — просто напишите мне в Twitter @ManiarViral

Планы

• Шифрование эксфильтрации через Gmail для обхода проверки SSL
• Получение фотографий с фронтальной камеры
• Запись микрофона