-: Anteriormente, aprendemos como criar
um backdoor indetectável, o que é ótimo,
mas entregamos esse backdoor simplesmente baixando-o no computador
de destino.
Agora, isso provavelmente não funcionará na vida real.
Seu destino nunca irá apenas baixar um executável e executá-lo
se você pedir a ele para fazer isso.
Portanto, nesta palestra, quero
mostrar a vocês um método de entrega mais inteligente, onde faremos uma atualização.
Portanto, quando um programa específico no computador de
destino verifica se há atualizações, ele dirá que há uma atualização.
E quando eles instalarem essa
atualização, eles estarão, na verdade, instalando um backdoor.
A única limitação desse método
é que você precisa ser o homem do meio.
Não importa como,
mas você precisa ser capaz de interceptar as conexões.
Então você pode fazer isso usando ARP
spoofing, ou usando um ponto de acesso falso, como mostrei antes,
ou usando qualquer outro método que
permita interceptar as conexões.
Normalmente, os programas têm um domínio específico que eles usam para
verificar se há atualizações.
Então, digamos que temos o
usuário aqui que tem um programa específico que deseja atualizar
algo, ele enviará uma solicitação para um domínio específico.
E digamos que este domínio, neste
caso, é updateserver. com.
Isso será enviado ao servidor DNS.
O servidor DNS responderá com
o IP do servidor de atualização, que temos aqui.
E então o usuário enviará uma solicitação direta
ao servidor de atualização, procurando por atualizações.
Se houver atualizações, o servidor de
atualização responderá com as atualizações.
Agora, se formos o homem
do meio, se formos capazes de interceptar
todas as solicitações e respostas, então quando recebermos uma solicitação
de updateserver. com, em
vez de fornecer o IP do servidor de
atualização, podemos realmente fornecer o IP de um servidor hacker.
Este servidor está executando um programa especial chamado Evil Grade.
E o Evil Grade dirá ao usuário: "Sim,
há uma atualização. "E, em
vez de fornecer a eles uma atualização real, isso
os servirá como uma porta dos fundos.
Portanto, quando o usuário concorda em instalar essa
atualização, ele na verdade instalará um backdoor em seu sistema.
Vamos fazer isso de forma prática e ficará ainda mais claro.
Bem aqui, tenho minha máquina Kali.
Esta é a imagem personalizada que fiz para este curso.
Portanto, ele tem o Evil Grade pré-instalado.
Portanto, primeiro, precisaremos navegar até o local onde
ele está instalado.
Vamos usar o comando cd para fazer isso.
E é instalado em / opt / evilgrade #.
E então, para executar o binário, o próprio
programa, faremos. / evilgrade.
Agora, usar o Evil Grade é muito simples
e muito semelhante ao Metasploit.
Então, para obter uma lista de todos os programas
que podemos sequestrar suas atualizações, vamos
fazer os módulos de show.
E
como você pode ver, você tem muitos programas famosos como WinZip,
VMware, Skype, Safari e assim por diante.
Agora, faremos
isso em um programa chamado DAP, Download Accelerator Plus.
Então, nós temos isso aqui.
Portanto, para configurar um módulo específico, tudo
o
que precisamos fazer é digitar o nome do módulo de
configuração, que é DAP.
Portanto, você pode
substituir o DAP por qualquer módulo que
deseja configurar com qualquer programa que deseja sequestrar.
Então, vou apertar Enter.
E como você pode ver, agora estou dentro do módulo
DAP e vou mostrar opções para ver
todas as opções que posso definir.
Como você pode ver, temos uma lista de
todas as opções que podemos definir e a principal opção que queremos
alterar é o Agente.
Este é o caminho para o
programa que será instalado como uma atualização.
Então, em nosso caso, vamos
substituir isso pela porta dos fundos que criamos na aula anterior.
Então, para alterar essa opção, vamos
definir o nome da opção do agente para o local onde estou
minha porta dos fundos.
E
meu backdoor está em / var / www / html
/ backdoor. Exe.
Então, como você pode ver, o formato de alteração de
opções é muito semelhante ao Bettercap e Metasploit.
Definimos, seguido pelas opções que queremos alterar, seguido
pelo valor.
Vou apertar Enter e pronto.
A próxima coisa que quero modificar é o Endsite, que é
o site que será
carregado assim que a atualização for bem-sucedida.
Agora, eu sei que isso retornará um erro não encontrado,
por isso vou alterá-lo.
Você não precisa alterá-lo a cada módulo.
Então, novamente, para mudar
isso, vamos apenas definir o fim
do site, e vou defini-lo apenas para o domínio básico, que é
o speedbit. com.
E, finalmente, antes de executarmos tudo,
vou mostrar as opções uma última vez para
ter certeza de que tudo está definido como eu quero.
Portanto, tenho o agente
definido como / var / www / html / backdoor. Exe.
Perfeito.
E eu tenho o Endsite configurado do jeito que eu quero.
Então, estou pronto para ir.
E tudo o que precisamos fazer
agora é digitar, começar, para iniciar o Evil Grade.
Então, agora, se o Evil Grade receber uma solicitação de atualização, ele
dirá: "Sim, há uma
atualização" e servirá a porta dos fundos. exe como a atualização.
O único problema é que ele nunca receberá nenhuma solicitação
agora, porque não estou interceptando conexões.
Ainda não sou o homem do meio.
Portanto, vamos nos tornar o homem do
meio usando Bettercap.
Como eu disse, você pode usar qualquer
método que quiser para se
tornar o homem do meio, mas vamos fazer isso usando ARP spoofing agora.
Então, vou usar o Bettercap usando exatamente o mesmo
comando que usamos antes.
Então, estamos apenas fazendo o
Bettercap, dado que a interface se conectou à rede
e deu a ela esse spoof
caplet para que ele execute um ataque ARP
spoofing, me colocando no meio das conexões.
Vou pressionar Enter e isso será executado sem erros.
Então isso é perfeito.
Também precisamos usar o Bettercap para executar um ataque de falsificação de DNS e falsificar
qualquer solicitação de atualização. speedbit. com.
Este é o domínio que o programa de destino
usa para verificar se
há atualizações, e queremos falsificar as solicitações de DNS para
isso, para que eles retornem o IP da máquina Kali aqui, que
está executando o Evil Grade.
Então, o Evil Grade dá a eles uma atualização falsa.
Agora, eu abordei como fazer spoofing de DNS em detalhes
em uma palestra completa anterior.
Então, se você não se lembra
de como isso funciona, por favor, volte e revise
esta palestra porque vou fazer isso um pouco mais rápido agora.
Vou copiar este
domínio e limpar esta tela aqui.
E vamos definir a falsificação de DNS como verdadeira.
E também definiremos a falsificação de DNS, os domínios, para
o domínio que desejamos falsificar.
Finalmente, vamos iniciar o
spoofer de DNS ativando o spoof de DNS, perfeito.
Agora, está funcionando e ainda
sabe que vai falsificar qualquer solicitação de
atualização. speedbit. com
para o IP da minha máquina Kali.
O IP da minha máquina Kali está executando o Evil Grade.
O Evil Grade dirá: "Sim, há uma nova
atualização", e isso lhes servirá de porta dos fundos que temos aqui.
E dessa forma o backdoor será executado automaticamente
no computador de destino.
O único problema é que o backdoor será executado,
mas não estamos ouvindo conexões de entrada aqui.
Então, queremos realmente ter acesso.
Portanto, precisamos ouvir as conexões de
entrada usando o Metasploit, como mostrei antes.
Agora, já configurei meu multi / manipulador.
Novamente, abordei isso em detalhes.
Portanto, se você não se lembra
de como fazê-lo, por favor, volte a essa palestra.
No momento, vou apenas mostrar opções
para mostrar as opções que defini aqui.
E você pode
ver que estou usando um windows / meterpreter / reverse http aqui, porque
na verdade estou usando um backdoor diferente no
meu Evil Grade, esse backdoor bem aqui.
Não é um HTTPS reverso como mostrado nas palestras anteriores.
Na verdade, é um backdoor HTTP reverso
porque, por algum motivo, percebi que os backdoors HTTPS não
estão funcionando com o Evil Grade.
É por isso que criei um backdoor HTTP reverso
especificamente para esta palestra.
Portanto, estou configurando minha carga útil para a mesma carga que é
usada na porta dos fundos.
Estou configurando meu IP aqui.
Estou configurando o LPORT para 8080.
Então está tudo perfeito.
Vou executar o exploit para ouvir as conexões de entrada.
E agora, estamos prontos para ir.
Portanto, agora vamos repassar mais uma vez
quando formos para o computador de destino e verificaremos se há atualizações.
Neste momento, este computador está interceptando conexões
por causa do Bettercap.
E também vai falsificar qualquer pedido
de atualizações. speedbit. com para este IP.
Este é o IP onde o Evil Grade está trabalhando.
Evil Grade dirá: "Sim, há uma nova atualização. "A
atualização é este executável.
O computador de destino levará este executável.
Ele vai executá-lo porque pensa que é uma atualização.
Quando isso for executado, ele enviará uma conexão para
nós aqui em nosso multi / handler.
Portanto, vamos ao computador de
destino e veremos se isso realmente funcionará como esperávamos.
Então, já baixei o Download Accelerator Plus,
o programa que estamos tentando sequestrar,
e instalei.
Vou apenas clicar duas vezes nele para iniciar o programa.
Agora, estou apenas
pedindo para defini-lo como o gerenciador de download
padrão, vou dizer que não.
E vou para
Ajuda e clico em Atualizar agora.
Vamos dizer que sim, verifique se há atualizações, por favor.
Vou desmarcar isso e clicar em Avançar.
Ele está procurando por atualizações agora.
E está nos dizendo que há uma nova atualização.
Então, vamos dizer Próximo.
E está nos dizendo bem aqui, é uma atualização crítica.
Então, eu vou ficar tipo, sim, quero instalar isso.
Isso fará o download da atualização para mim e a instalará.
E ainda não acabou.
Tudo está feito.
Diremos a seguir, muito obrigado.
E acabou.
Agora, se voltarmos para a máquina
Kali, você pode ver que temos uma conexão
reversa aqui do alvo.
Só para confirmar isso, podemos fazer sysinfo
para ver mais informações.
E perfeito.
Como você pode ver, estamos dentro do computador de destino.
E agora temos acesso total a esse computador e
podemos fazer tudo o que o usuário normal pode fazer em seu sistema.
Agora, falarei mais sobre pós-exploração e
como controlar
o computador usando este
acesso meterpreter na seção pós-exploração.
Mas agora, conseguimos invadir um computador usando
uma atualização falsa.