Sticky Keys Hunter

Этот POC bash-скрипт проверяет наличие бэкдоров залипающих клавиш (sticky keys) и utilman. Скрипт подключается к RDP-серверу, отправляет триггеры для sticky keys и utilman и делает скриншот результата.

Этот скрипт был написан для доказательства теории о выявлении этих бэкдоров «черным ящиком» и не обновлялся с момента написания моего блог-поста Hunting Sticky Keys Backdoors. Однако @DennisMald и @notmedic продолжили это исследование и выпустили инструмент Sticky Keys Slayer на своем выступлении на DEF CON 24, Sticky Keys To The Kingdom. Загляните в их инструмент, так как он имеет множество улучшений по сравнению с этим POC-скриптом.

Как это работает?

1. Подключается к RDP с помощью rdesktop
2. Отправляет Shift 5 раз с помощью xdotool для активации бэкдоров sethc.exe
3. Отправляет Windows+u с помощью xdotool для активации бэкдоров utilman.exe
4. Делает скриншот
5. Завершает RDP-соединение

Предварительные требования

1. Хост Linux с запущенным X-сервером
2. Следующие пакеты: xdotool imagemagick rdesktop bc 3. Debian/Ubuntu/Kali установка: apt-get install xdotool imagemagick rdesktop bc
3. Экран не должен быть заблокирован во время этого процесса, иначе все скриншоты будут черными

Использование

Сканирование одного хоста: ./stickyKeysHunter.sh 192.168.1.10

Сканирование нескольких хостов: for i in $(cat list.txt); do ./stickyKeysHunter.sh "${i}"; done

TODO

1. Автоматически анализировать скриншоты с помощью OCR или обработки изображений для выявления бэкдоров.
2. Ускорить/многопоточность инструмента.