Заражение с помощью GIF

[mix21]

В ходе работы будем использовать PowerShell Empire 2 поэтому я частично затрону вопрос установки и использования его в нашей связке.

• Заражение с помощью GIF Как установить PowerShell Empire 2?
• Если у вас уже есть данная утилита, то можно переходить к следующей главе. Это небольшая инструкция для начинающих. Для начала необходимо скопировать данную утилиту с репозитария
  Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!
  . Я буду выделять команды в своем терминале Kali Linux:
• git clone
  Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

Копирование в директорию
Далее необходимо провести установку. Далее необходимо перейти в папку Empire. Выполняем несколько команд.

• cd Empire/
• cd setup
• ./install.sh

Установка PowerShell Empire 2
Далее необходимо вернуться в директорию и запустить файл. Для этого выполняем такие команды, после чего произойдет запуск утилиты:

• cd ..
• ./empire

Запуск утилиты
Как создать исполняемую команду в PowerShell Empire 2?
Чтобы получить доступ над нашей целью необходимо чтобы сгенерированный код был запущенный в командной строке. Сначала попробуем провести атаку, напрямую выполнив команду в Windows 10, а далее будем использовать метод, который позволит хорошо скрыть наш код.
Для начала необходимо запустить команду и проверить активных "слушателей":
liseners

Далее создадим учетную запись, которая позволит получить активные профиль для дальнейшего тестирования, для этого выполняем команды:
uselistener http
execute
listeners //проверяем наш созданный профиль

Успешное создание профиля
Далее необходимо генерировать код для запуска для этого выполняем команду:
launcher powershell http

Полученный код
После этого копируем полученный код и запускаем его в командной строке на ОС нашей цели. Я для теста использовал Windows 10. После запуска на винде процесс обрабатывается и закрывается, а мы получаем сессию. После этого в терминале появиться такое окно:

Полученная сессия Маскируем наш код в GIF картинку
Для этого нам нужен код, которые мы генерировали в предыдущих шагах. Рассмотрим выполнения этой процедуры в несколько шагов.
Хочу отметить сразу, что тестирование проводилось на нескольких машинах Windows 7 и Windows 10 и все процедуры были успешными и удавалось получать доступ к нашей цели. Способ очень эффективный, так как не обнаруживаеться многими антивирусами.
Шаг 1: Подготавливаем наш скрипт
Скачать и посмотреть можно по этой ссылке. Далее необходимо добавить себе в блокнот. После этого необходимо вставить код из PowerShell Empire 2 в 37 строчку, как показано на скриншоте:

Вставляем код из PowerShell EmpireШаг 2: Конвертируем GIF-ку и добавляем в скрипт
Для этого можно воспользоваться этим

Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

. Добавляем любую картинку в формате .gif и нажимаем convert to Base64.

Конвертирование картинки в Base64
Далее необходимо добавить полученный код в наш скрипт, который мы использовали в первом шаге. Добавляем в 17 строку, как на скриншоте:

Добавляем .gif в формате base64
Шаг 3: скрываем вредоносный файл от антивирусов
Сделаем это с помощью программы

Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

. Скачиваем, распаковываем, запускаем и выбираем операцию "Scramble" во вкладке "Script in "Before"", а в меню "Scripts"-"Encode script", более детально можно увидеть на скриншоте:

Обфусцификация
После этого остается скопировать полученный результат в текстовый файл с форматом .hta. После запуска на компьютере нашей цели появиться гифка, а у нас успешная сессия. Способ очень интересный и может использоваться на практике.

Запуск
Заключение
Таким образом, этот способ можно использовать с применением СИ. Относительно быстро и просто можно получить доступ над целевым компьютером. Используйте с умом да и будет счастье.
(C)Plastik

 

[xkurs0v0d]

Как то всё очень просто выглядит. Есть результат у кого. стоит тратить время на тестирование?

 

[rashidikil1994]

Запускал на 3 машинах под 7 виндой, ничего не происходит. Результата нет. В чём может быть ошибка? Или способ более не актуален?

 

[AnalFucker123]

Проверил, до конца дошел, ничего не сработало.
Даже не доходя до конца, скопировав код из программы и вставив его в командную строку, нажав энтер, строка закрылась, сессия не прилетела. 0 реакции. Не рабочий метод.

 

[xkurs0v0d]

Такие схемы как правило не работают, т.к. марально устарели. Вообще эти фреймворки Метасплойт, эмпаре на мой взгляд сборка устаревшего хлама. На все эксплойтов давно выпущены заплатки. Т.ч. я даже не стал время тратить на тестирование.