Puerta trasera Indetectable en Windows 10

Esta publicacion es acerca de diferentes herramientas de las que me gustaria platicarles por si deciden usarlas aunque tambien como ejemplo de algo que usaremos durante el curso de certificacion de hacking ofensivo nivel 1 , donde estare impartiendo 5 dias de clases con diferentes temas. Hoy el tema es acerca de herramientas post explotacion. Las utilizaremos en este caso para dejar una puerta trasera a un equipo Windows 10 protegido con las soluciones antimalware que vienen instaladas. He desarrollado algunos retos en diferentes sistemas para ser explotados durante el curso. Cabe mencionar que esto podrian aplicartelo en los equipos de tu oficina, en los de tu escuela o tu laptop personal por lo que es importante conocer de cerca estas tecnicas sobre todo si tu trabajo consiste en realizar pruebas de intrusion con la finalidad de ayudar a implementar soluciones que eviten estas intrusiones en los sistemas.

SpookFlare

Esta herramienta ofrece un bypass desde una perspectiva diferente para las soluciones de seguridad evitando detecciones del lado del cliente y detecciones dentro de la red. Es un cargador que genera lanzadores para meterpreter, empire Koadic, etc. Por lo que te servira para evadir las contramedidas que utiliza la maquina obtejivo durante tus pruebas de intrusion. Por mencionar algunas de las caracteristicas:

  • Ofuscacion
  • Codificacion
  • Sustitucion de caracteres
  • Bypass al bloqueo de powershell

Otra de las herramientas que usaremos es

KOADIC

Es un rootkit post-explotacion similar a otras herramientas que se usan para las pruebas de intrusion como meterpreter, y empire powershell. La diferencia es que koadic usa Windows Script Host(aka Jscript/VBscript) para sus operaciones. Lo que hace que sea compatible desde Windows 2000 sin service packs, en adelante todas las versiones hasta Windows 10

Tambien crear payloads completamente en memoria, y por supuesto usa comunicaciones criptograficamente seguras a tra ves de SSL y TLS dependiendo el Sistema operativo de la victima. Es compatible con python 2 y python 3. Sin embargo python 2 dejara de usarse por lo que se recomienda usar Python 3 para una mejor experiencia. Por mencionar algunas caracteristicas que usaremos:

  • Bypass UAC desde windows 7, Windows 8, y Windows 10
  • Extraer informacion de usuarios y contraseñas del equipo zombie/victima
  • Habilitar el escritorio remoto para controlar el equipo remoto
  • Usa HTTP para escanear los puertos abiertos de la computadora zombie/victima en LAN

Y muchas otras mas que veremos durante la clase de exploiting windows pero no quiero aburrirlos asi que vamos a practicar.

Vamos a iniciar nuestra maquina virtual en Kali ya que forma parte del material del curso nivel 1 pero puedes usar otra distro; abrimos desde consola la herramienta:

utilizamos el stager ‘rundll32’ que usaremos para enganchar a la maquina zombie/victima y posteriormente usar el implant con alguna de las funciones disponibles; 

 use stager/rundll32_js

info

con la IP de nuestro equipo a donde se conectara nuestro zombie/victima, ahora podemos escribir ‘run’ para crear el payload, creando la ruta donde se cargo

Guardaremos dentro de un .txt en el escritorio el codigo javascript del output para posteriormente usarlo con SpookFlare. Lo nombraremos ‘BackDoor.txt’:

Ahora cargamos SpookFlare y escribimos ‘list’ para ver las opciones y cargar el payload:

Tenemos varias opciones pero usaremos la opcion #3 para crear un lanzador con javascript – .HTA el cual nos agregara sustitucion de caracteres, ofuscacion de codigo y codificacion al codigo guardado en el .txt anterior.

Modificaremos los parametros del payload;

FNAME: nombre que aparece cuando el payload es activado por ejemplo: BackDoor

CMD: la ruta del archivo .txt donde se almacena el codigo con el que trabajara el payload

Quedando algo asi:

Nos genero un payload en .html ofuscado y codificado, accederemos a la ruta del output y moveremos el archivo a nuestro servidor. Por lo que sera necesario iniciar nuestro servicio de apache2, para posteriormente  abrirlo desde una URL en un navegador dentro de windows.

Automaticamente se descagara una vez abierto el LINK pero lo detectarian los antivirus por default en windows 10 por lo que una vez desactivado, le pasaremos un cifrado con HTML guardian 7,  ademas de convertirlo en un binario executable (.exe) con permisos administrador:

Desactivaremos por un par de segundos el antimalware para dejar indetectable el payload ejecutable y poder instalarlo en la maquina victima. Esto lo puedes preparar en un entorno virtual para hacer con calma tus pruebas:

HTML GUARDIAN

Nos facilita el cifrado de codigo HTML y javascript ademas, ASP y web con protecciones de password.

Una vez con el payload en windows procederemos por ultimo a cifrar el codigo del BackDoor.HTA con HTML Guardian guardandolo como .exe con la informacion necesaria que ademas de pasar desapercibido por los antivirus tambien sea a la vista de los usuarios.

les dejo una imagen antes de cifrar el .HTA codificado y ofuscado :

Una vez cifrado  lo guardamos para posteriormente convertirlo en .exe utilizando VBscript editor:

Agregamos algunos detalles ya que ademas de pasar desapercibido por el antimalware tambien debe serlo a la vista del usuario aunque todavia podemos pulirlo mucho mejor yo lo dejare asi:

Nos quedaría un ejecutable que podemos personalizar pero ya con eso queda indetectable para Windows 10 la cual usa la maquina objetivo que se convertiría en un zombie/victima.

En nuestro kali ya tenemos el control de forma remota, para extraer contraseñas de grupos de dominio, cuentas de usuario, activar escritorio remoto, escanear puertos del zombie LAN o simplemente escalar y dejar la puerta trasera para cuando lo necesitemos:

Nos vemos en los proximos articulos y videos (para los que no gustan leer) que ire publicando. Donde mostrare como ejemplo diferentes tecnicas y herramientas que usaremos en el curso y que te ayudaran a solucionar los retos que resolveras durante la certificacion nivel 1 .

Saludos!

El sistema operativo no hace al hacker, el hacker hace el sistema operativo.

Alejandro Torres Ramirez a.k.a Torrescrack

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *