סוס טרויני דו-שלבי - MacroPack & Dropper file

תמלול ההרצאה: סוס טרויני דו-שלבי - MacroPack & Dropper file

הטקסט המלא של הדקות הראשונות בהרצאה «סוס טרויני דו-שלבי - MacroPack & Dropper file» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בהרצאה הזו ננסה להתחמק מאנטיווירוס על ידי קובץ דרופר מסמך וורד שאני הולך לשלוח לקורבן לא יכיל קוד זדוני שאנטיווירוס שיבדוק את הקובץ הזה, את האטאצ'מנט הזה לאימייל לא יעלה על הקוד הזדוני שלי כי הוא לא יהיה שמה

2. 00:21

   יהיה שמה רק קוד של דרופר, זה כינוי שלו קוראים לו לפעמים סטייג', לפעמים דרופר שיתחבר לשרת שלי ויוריד את הקוד הזדוני המטרה שבתוך ה-attachment לא יהיה שום דבר חשוד.

3. 00:35

   איך עושים את זה? קודם כל בוא ניצור את הקובץ הזדוני, את ה-payload שאנחנו רוצים תכלס להריץ על הקורבן ברגע שנשתלט עליו.

4. 00:43

   אנחנו מריצים MSFenum, לוקחים את ה-payload הזה מטר פריטר רוורס tcp, כותבים לאיזה IP להתחבר, זאת אומרת שהקורבן יתחבר אליי, כי אני לא מסוגל להתחבר אליו, כי ה-firewall שלו חוסם אותי, אבל הפיירוול שלו נותן לו לצאת החוצה אליי.

5. 01:02

   הפיירוול הוא חד-כיווני, רק ליציאה. אז אני אשלח לו את הקוד הזדוני ואגיד לקוד הזדוני תתחבר אליי בחזרה. ובפורמט של אקזה, קובץ XE, לפני כן זה היה ויז'ואל בייסיק, עכשיו זה קובץ אקזה.

6. 01:16

   אז אני לוקח את כל זה, שם בתוך קאלי. והוא יוצר לי קובץ אקזה זדוני ושם אותו בדיסק של קאלי. נהדר, בואו נבדוק ב-LL שזה אכן נוצר.

7. 01:26

   ואני באמת רואה פה מי איבל אקזה פייר עכשיו אני לא רוצה להעביר אותו לקורבן ישירות אני רוצה שהדרופר שלי ימשוך אותו אבל איך דרופר יתחבר לכאן איך דרופר ימשוך אותו אז אני מפעיל פה שרת ווב בפורט 8080 אני יכול לתפוס כל פורט שבא לי סתם אני לוקח פורט 8080 אז עכשיו בתוך קאלי רץ שרת ווב בפורט 8080 ומי שמתחבר אליו

8. 01:51

   רואה את התיקייה הזאת בוא נראה שזה באמת עובד ככה אני רוצה לעשות ifconfig לקחת את הip של קאלי ללכת לווינדוס ולראות שאכן רואים את הקבצים האלו נקודתיים שמונים שמונים בפורט שמונים שמונים ואני רואה פה באמת רואים את הקובץ עכשיו מה שהדרופר צריך לעשות הוא

9. 02:11

   צריך לבוא לפורט שמונים שמונים בip של קאלי למשוך את הקובץ ולהפעיל אותו עכשיו נשאר לנו ליצור את הדרופר איך אנחנו יוצרים אותו על ידי macro pack אז אנחנו צריכים להעביר שני פרמטרים למאקרו פק אחד זה איזה קובץ למשוך ואיך נקרא לו בתחנה המקומית בתחנה המקומית אחרי שהוא יוריד אותו שישמור אותו תחת שם local copy העתק המקומי של my evil exit file הקובץ הזדוני

10. 02:40

    שלי העתק מקומי של הקובץ הזדוני כמובן שתעשו איזה שם שבא לכם אז אנחנו עושים אקו מדפיסים על המסך שני מילים את זה ואת זה הפקודת אקו רק תדפיס שני דברים על המסך תראו היא תדפיס את זה רווח את זה זה נכנס כאינפוט כקלט למאקרופק ואני אומר למאקרופק שימו לב בטייפ שלך בסוג הפקודה שתעשה תעשה לי קובץ dropper לפני כן מה עשינו בהתחלה

11. 03:06

    בהתחלה עשינו טייפ cmd תריץ פקודה פקודת קאלק אז עכשיו אנחנו לא עושים טייפ cmd אנחנו עושים טייפ dropper אז עוד פעם מדפיסים שני דברים על המסך אחד מאיפה לקחת את הקובץ ובאיזה שם לשמור אותו בתחנה מעבירים את ההדפסה הזאת, את שני הארגומנטים האלו, את שני הפרמטרים האלו,

12. 03:30

    דרך פייפ ל-Macropack, אקזה, ואומרים לו ליצור קובץ מסוג dropper, לערבב את הקוד שלו, לערפל את הקוד שלו, obfuscation, ולפלוט חזרה החוצה קובץ doc.

13. 03:45

    בואו נראה שזה עובד. אני עושה copy, paste ומריץ את זה. הנה הוא יוצר לי תיקיית temp. אם זה תקוע בשלב הזה, מוב hidden data זה אומר שיש פה מאחורי הקלעים הודעת אזהרה של וורד אני עושה אוקיי והוא מסיים מוחק תיקי הטמפ ויוצר לי את הקובץ דוק הזדוני שימו לב בתוך הדוק הזדוני הזה אין קוד

14. 04:07

    זדוני יש רק דרופר שיוריד את הקוד הזדוני אחרי זה ככה אני עובר את כל הבדיקות של אנטיווירוסים בדרך הסקאלי שלי פה בפורט 8080 מחכה שמישהו יתחבר אליו וייקח את הקוד הזדוני אבל אחרי שהקוד הזדוני הזה יעבוד אחרי שהאקס הזה יורץ אצל הקורבן, צריך שהמטרפריטר יקבל את החיבור וישלוט עליו.

15. 04:29

    אז אנחנו באים פה בקאלי ומקימים ליסנר, מאזין. הפעם זה מאזין של מטרפריטר ששולט על הקליינט, כמו שעשינו בכל ההרצאות הקודמות.

16. 04:40

    אני מפעיל את ההנדלר, את המאזין, אומר לו איזה פיילוד לצפות לו, אומר לו איזה IP ועושה לו run. הנה, הוא מוכן להשתלט על כל מי שיתחבר אליו בפורט 444.

17. 04:53

    למעשה קל לי פה מאזין לשני דברים, אחד זה למטר פריטר ושתיים זה לדרופר 80-80. אז יש לי פה דרופר 80-80 ומטר פריטר 4-4-4-4. זה ישמש להורדה של אקזאס דוני וזה ישמש לשלב שאחרי שהאקזאס דוני רץ, שאני מכאן שולט על המחשב.

18. 05:16

    בואו נראה שזה אכן עובד, נלך לווינדוס 11, נפתח את הוורד שקיבלנו בתמימות,