HACKER ANGELWHITE GALC

miércoles, 3 de junio de 2020

Powershell-RAT

Puerta trasera basada en Python que usa Gmail para filtrar datos a través de archivos adjuntos. Esta RAT ayudará durante los compromisos del equipo rojo para la puerta trasera de cualquier máquina con Windows. Rastrea la actividad del usuario mediante la captura de pantalla y la envía a un atacante como un archivo adjunto de correo electrónico. 
Publicado por en No hay comentarios:

Ninja: servidor C2 de código abierto creado para las operaciones del equipo rojo Stealth


Ninja C2 es un servidor C2 de código abierto creado por Purple Team para hacer una computadora sigilosa y enumeración directa de directoty sin ser detectado por SIEM y AV, Ninja todavía en versión beta y cuando la versión estable lanzada contendrá muchas más técnicas sigilosas y anti-forenses para crear un verdadero desafío para el equipo azul para asegurarse de que todas las defensas estén configuradas correctamente y puedan detectar ataques sofisticados.
Ninja usa python para servir la carga útil y controlar a los agentes. los agentes se basan en C # y powershell que pueden evitar los AV principales. Ninja se comunica con los agentes en un canal seguro cifrado con AES-256 y la clave no está codificada, sino que se genera aleatoriamente al inicio de la campaña, cada agente que se conecte al C2 obtiene la clave y si el C2 se reinicia, todos usarán una nueva clave agentes antiguos y nuevos. Ninja también aleatoriza las URL de devolución de llamada para cada campaña para evitar la detección estática.
  1. La característica principal de Ninja se llama DA (Análisis de defensa), que hará la enumeración requerida para obtener información importante a continuación y analizará la información para obtener puntaje para las defensas del sistema y la detección de sandbox.
  2. Detecta soluciones SIEM: ahora mismo detecta SPlUNK, Log beat collector, sysmon.
  3. detectar AV usando dos formas, usando el comando powershell y usando procesos.
  4. verificar si el registro de PowerShell está habilitado
  5. verificar si el usuario tiene privilegios de administrador
  6. proporcionar información sobre el sistema: nombre de host, sistema operativo, número de compilación, hora local, zona horaria, último arranque y BIOS.
  7. proporcionar información sobre las actualizaciones de seguridad instaladas.
  8. Proporcionar un puntaje de dureza del sistema basado en múltiples factores.
  9. proporcionar una puntuación de detección de sandbox basada en (privilegios, fabricante de la BIOS, unido al dominio o no, existencia de procesos sysinternals ).
  10. mostrar todos los usuarios del dominio (usando los comandos de powershell).
  11. muestra todos los grupos de dominio (usando los comandos de powershell).
  12. mostrar todas las computadoras de dominio (usando powerview.ps1 - tomado de: https://github.com/PowerShellEmpire/PowerTools/blob/master/PowerView/powerview.ps1 ).
  13. Mostrar acciones disponibles.
Ninja está diseñado para ser fácil de configurar y para agregar más comandos y automatizar tareas aburridas. puedes encontrar muchos comandos cortos que un terapeuta rojo lucha por memorizar y buscarlos. consulte este artículo para obtener más información sobre ninja: https://shells.systems/introducing-ninja-c2-the-c2-built-for-stealth-red-team-operations/ Ninja características principales Ninja está repleto de una serie de características que le permiten obtener una idea de su próximo compromiso antes de que realmente necesite implementar su aresenal completo o herramientas y técnicas, como:
  • Análisis de defensa
  • automatización para el ataque kerberoast desde la generación de tickets kerberos hasta la extracción de los hash SPN en formato hashcat.
  • automatización para que dc_sync obtenga hashes para una lista de usuarios o grupo de administradores de dominio.
  • Automatización no detectada para obtener grupos a los que pertenece el usuario y los miembros miembros de un grupo.
  • Automatización para la recopilación de datos AD de sabueso.
  • cargas útiles personalizadas de C # que encriptan cadenas para evitar la detección estática.
  • codifique cualquier comando que desee unicode base64 para usar en comandos codificados con powershell.
  • cifrado completo de todas las comunicaciones entre el Agente y el comando y control para evitar la detección AV e IPS.
  • URL dinámicas para todas las funciones, simplemente coloque su lista de nombres de URL y el c2 lo usará al azar para evitar cualquier detección estática.
  • obtenga una clave de cifrado aleatoria sobre la marcha (no codificada) cada vez que el agente se conecte (incluso la reconexión necesita una nueva clave)
  • tomar capturas de pantalla y enviarlo encriptado a C2
  • cargar archivos de C2 a la víctima encriptados para evitar AV e IPS
  • descargar archivos de la víctima encriptados para evitar AV e IPS
  • cargas útiles por etapas para evitar la detección (base64 y base52)
  • evita los AV (probado en kaspersky y trendmicro)
  • Omite la detección SIEM (probada en splunk que recopila los registros de eventos habituales junto con los registros de sysmon) no probados en el bloque de secuencia de comandos de powershell v5 y el registro del módulo (se realizará en la próxima versión).
  • establezca el intervalo de baliza dinámicamente incluso después de que el agente se conecte y proporcione un intervalo de baliza inicial en las configuraciones de inicio de campaña
  • registrar todos los comandos y resultados para volver a los datos que perdió en su operación.
  • establezca la configuración una vez cuando comience la campaña y disfrute.
  • cambio global de muerte para finalizar campañas.
  • eliminar entradas de la tabla.
  • Toda la carga útil escrita en la carpeta de cargas útiles para un fácil acceso y una mayor personalización.
  • Fácil de agregar automatización para cualquier comando que desee.

Requisito,
tenga en cuenta que compilar C # depende delSystem.Management.Automation.dllensamblaje con hash SHA1 c669667bb4d7870bc8bb65365d30071eb7fb86fe.
Algunos comandos Ninja requieren los siguientes módulos (ya existen en los módulos) que necesita para obtener actualizaciones de su repositorio:

Invoke-Kerberoast: https://raw.githubusercontent.com/xan7r/kerberoast/master/autokerberoast.ps1
Invoke-Mimikatz: https : //github.com/PowerShellMafia/PowerSploit/blob/master/Exfiltration/Invoke-Mimikatz.ps1
Sharphound: https://github.com/BloodHoundAD/BloodHound/blob/master/Ingestors/SharpHound.ps1 PowerView
: https: / /github.com/PowerShellEmpire/PowerTools/blob/master/PowerView/powerview.ps1

Instalación
En primer lugar, asegúrese de descargar la última versión de Ninja con el siguiente comando:
git clone https://github.com/ahmedkhlief/Ninja/
debe configurar Ninja ejecutando el script install.sh:
chmod +x ./install.sh sudo ./install.sh
después de eso, debe inicializar la campaña:
python start_campaign.py
ahora puede iniciar el servidor Ninja:
python Ninja.py
lo saludará con lo siguiente una vez que lo ejecutes:



            88             88             
            ""             ""                           
                                              88888      8888
8b,dPPYba,  88 8b,dPPYba,  88 ,adPPYYba,    88        88    88
88P'   `"8a 88 88P'   `"8a 88 ""     `Y8    88              88
88       88 88 88       88 88 ,adPPPPP88    88              88
88       88 88 88       88 88 88,    ,88    88            88
88       88 88 88       88 88 `"8bbdP"Y8    88          88  
                          ,88                 88888      888888
                        888P"         
         V1.0.1 BETA !


 Ninja C2 | Stealthy Pwn like a Ninja

+------------------------------------------------------------+
 Command        Description                                                                        
 -------        -----------                                                                         exit           Exit the console , or kill the agent                                               
 list           List all agents                                                                    
 help           Help menu                                                                          
 show           Show Command and Controler variables                                               
 use            Interact with AGENT                                                                
 back           Back to the main                                                                   
 payload        Show Payloads                                                                      
 load           load modules                                                                       
 kill_all       kill all agents                                                                    
 delete         delete agent from the list                                                            
 delete_all     delete all agents in the list                                                      
 set-beacon     set the beacon interval live for agent                                             
 download       download file from the vicitm                                                      
 downloads      list downloaded files                                                              
 upload         upload files to the victim                                                         
 modules        list all the Available modules in Modules directory                                
 encode64       encode any command to base64 encoded UTF-8 command ( can be decoded in powershell)
 screenshot     take screenshot form  the victim                                                   
 DA             Run defense Analysis Module                                                        
 kerb              do kerberoast attack  and dump  service accounts hashes                            
 dcsync_admins  do dcsync attack agains domain admins group                                        
 dcsync_list    do dcsync attack agains custom user list                                           
 get_groups     get all the groups user is member of                                               
 get_users      get all the users member in group                                                  
 bloodhound     run bloodhound to collect all the information about the AD                 
+------------------------------------------------------------+

Uso
Consulte este artículo sobre Ninja y cómo usarlo: https://shells.systems/introducing-ninja-c2-the-c2-built-for-stealth-red-team-operations/ .

Que hacer
  • Mejore el módulo DA y agregue más detección SIEM, AV y sandbox junto con datos de enumeración más importantes.
  • Más enfoque en el sigilo para cargar partes del agente solo cuando sea necesario
  • agregue más comandos abreviados para módulos populares
  • agregue más personalizaciones e ideas para suplantación de identidad utilizando cargas útiles y macros de C #
  • integración con exploit curveball
  • integración con nuevo intercambio RCE
  • Persistencia indetectable
  • cree un comando de borrado para eliminar de forma segura los archivos en el disco duro sin ser detectado y analizado por el equipo azul.
  • hacer que el agente bloquee los cambios al azar para evitar cualquier detección estática
  • agregue ofuscación para los agentes.
  • integrar cargas útiles de huelga de cobalto

Capturas de
pantalla de la pantalla principal


Cargas útiles


Lista de agentes


DA



DA


DA


DA


Subir archivo


Descargar archivo



Publicado por en No hay comentarios:
Suscribirse a: Entradas (Atom)