TL; DR
Sephutheloana sa PyPI se bitsoang taolo ea gcli e rometse sesebelisoa se felletseng sa phihlello ea hole sa Windows: ho ngola lintlha tsa konopo, ho hapa webcam le maekrofono, ho beha leihlo clipboard, phihlello ea boitsebahatso ba sebatli, taolo ea skrine, ho phehella, ho phahamisa litokelo, le "litaelo tse fetang 140" tse ipapisitseng. Ha ea ka ea pata hore na ke eng: kakaretso ea PyPI ea sephutheloana e e hlalositse e le "sesebelisoa sa phihlello ea hole ka npoint.io".
Ntlha e lokelang ho emisoa ke poleloana eo "ka npoint.io." Ho e-na le ho bitsa seva e inehetseng lehae, ho sebelisitsoe sesebelisoa sa ho kenya ntlha ea npoint[.]io (tšebeletso ea mahala, e molaong bakeng sa ho boloka litokomane tse nyane tsa JSON) e le phetisetso ea eona ea taelo le taolo. Motsamaisi o ngola litaelo ka har'a bin ea JSON; lipatlisiso tsa ho kenya tse bolokang, tse phethahatsang le tse ngolang liphetho. Ha ho na domain ea mohlaseli eo a ka e thibelang, ha ho na IP e ncha eo a ka e tšoaeang: sephethephethe se ea ho bahlahisi ba lits'ebeletso ba e sebelisang letsatsi le letsatsi.
Liphetolelo tse tšeletseng li hatisitsoe ka lihora tse ka bang leshome le metso e meraro le halofo, e 'ngoe le e 'ngoe e na le bokhoni bo fetang ba ho qetela. E 'ngoe le e 'ngoe ea tsona e ile ea fuoa lintlha ml_e boletsoeng esale pele_e bolokehile ke mohlophisi ea iketsang pele tlhahlobo ea letsoho e fetola lelapa e le le kotsi.
Sebopeho sa 'mele sa tlhaselo
taolo ea gcli e kenya sephutheloana sa ho kenya thepa gcli, khoutu ea Python ea li-module tse 35. Ha ho na nako ea ho kenya hooks — ha ho letho le mathang nakong pip kenyaBokgoni bo dula ka hara dimmojule ka botsona, bo bitswang hang ha sesebediswa se sebetsa, mme sebopeho sa mojule se baleha jwalo ka leqephe la ditshwaelo tsa sehlahiswa:
Karolo e khahlisang ke kanale ea litaelo. Bongata ba lisebelisoa tsa phihlello ea hole li fihlella seva eo opereishene e e laolang - IP, domain, mofani oa ho amohela tse ka tlalehoang le ho tlosoa inthaneteng. taolo ea gcli ho e-na le hoo e tšoara tšebeletso ea mahala ea JSON-bin e le ho theoha ho sa feleng. The ntlha e ka sehloohong mojule o bala le ho ngola ditokomane tse nyane tsa JSON ho ntlha ea npoint[.]io ho feta HTTPS e tloaelehileng; crypto/ho kenyeletsa di-module di phuthela mejaro e fapantsweng ya payloads e le hore dikahare tsa dithōle e se ditaelo tse hlakileng. Phello ke relay e buellwang, e patiloeng:
- Mosebelisi o kenya taelo (e patiloeng) ka har'a nkho ea JSON.
- Sethapo se kentsweng, se sebetsang hodima moamoheli wa motho ya hlasetsweng, se etsa dipatlisiso tse thibelang, tse ntshang mongolo o patilweng, tse phethahatsang e mong wa batsamaisi ba sona ba ditaelo, mme se ngola sephetho (se patilweng).
- Ho mohlokomedi wa netweke, motho ya hlasetsweng o mpa a bua le ntlha ea npoint[.]io — tšebeletso e nang le lebaka le utloahalang la ho hlaha sephethephetheng sa bahlahisi.
Ha ho na download ea mohato oa bobeli le sesebelisoa se sa hlakang mona: bokhoni bo romeloa kaofela, ka Python e baloang, 'me "ho ipata" feela ke khetho ea relay le encryption ea payloads e relayed.
Lebaka leo ka lona JSON-bin dead-drop e hohelang ka mokhoa o sebetsang le bohlokoa ho hlalositsoe, hobane le hlalosa lebaka leo re lebeletseng ho bona mohlala hape:
- Ha ho na ntlha ea ho qetela e ruuoang ke moetsi. Ha ho na domain ea C2 eo u ka e ngolisang, ha ho na VPS eo u ka e hirang, 'me ha ho letho leo mosireletsi kapa mongolisi a ka le nkang. sephutheloana ha e ame kanale; ho tlosoa ha kanale ho bolela ho kopa SaaS e akaretsang ho laola tokomane e le 'ngoe har'a limilione.
- Ho hlatswa diaparo ka botumo. HTTPS e tswang ho ya tshebeletsong e tsebahalang ya moqapi ha e na kotlo ya botumo eo domain e ntjha kapa IP e tala e neng e tla e etsa. Disete tse ngata tsa ho sefa tsa ho tswa di e dumella ka tsela e sa tobang.
- Ho se lumellane le ho latoloa. Mohlala oa ho etsa lipatlisiso — sethopo se lata tokomane ka nako e itseng ho e-na le ho tšoara sokete e bulehileng — se hlahisa sephethephethe se shebahalang joaloka ho etsa lipatlisiso tsa API khafetsa, eseng seboka se sebelisanang. Ho ngola litaba tsa tokomane ka mokhoa o patiloeng ho bolela hore esita le mohlahlobi ea fumanang setshelo o bona mongolo o sa fetoheng, eseng lethathamo la litaelo.
- Ho potoloha ho sa reng letho. Ho fallela setsing se fapaneng sa polokelo, kapa tshebeletso e fapaneng ya ho ngola/ho peista ka botlalo, ke phetoho ya tlhophiso ya mola o le mong bakeng sa opereishene. Lenane lefe kapa lefe la di-block le kentsweng ho relay e itseng le fellwa ke nako hang ha le romelwa.
Phehisano eo mosebedisi a e amohelang ke ho feta le ho latedisa: relay e theohelang e lieha ebile e le tlase ho feta khokahano e tobileng. Bakeng sa implant ea tlhokomelo le taolo e fanang ka litaelo tse khutšoane haholo-holo le ho bokella liphetho ha nako e ntse e ea, khoebo eo e bonolo ho e etsa.
lobaka lo longwe
Lelapa le ile la eketseha ka potlako. Litempe tsa nako tsa tlhahiso ea litekete bakeng sa mefuta e tšoailoeng li beha arc eohle e bonoang ka hare ho lihora tse ka bang leshome le metso e meraro le halofo, 'me palo ea bopaki ba sekenara ka boeona e ile ea eketseha hammoho le khoutu - ho tloha libakeng tse 'maloa tse tšoailoeng phetolelong ea pele ho isa ho tse leshome le metso e mene ho ea morao-rao.
Linomoro tsa phetolelo ha lia ka tsa phatlalatsoa ka tatellano e tiileng, empa tataiso e hlakile: ho khaola hanyane pele, ebe ho etsoa phetoho e potlakileng ho ea ho 0.7.1 e nang le likarolo tse felletseng. Ena ke sebopeho sa projeke e ntseng e ntlafatsoa e sutumelletsoang ho ngoliso ea sechaba ha e ntse e hola, eseng ho theoha hanngoe feela.
Matšoao a ho Sekisetsa
Lipontšo tsohle tse ka tlase li tiisitsoe khahlanong le litaba tsa sephutheloana sa disk le tlhahlobo ea sesupo se ikhethileng sa mofuta oa 0.7.1; ha ho le e 'ngoe ea tsona e leng likhakanyo.
Tlhokomeliso ea mosireletsi: lets'oao le matla ka ho fetisisa le tšoarellang ha se domain (moamoheli oa relay o potoloha hanyane) empa ke sebōpeho: sephutheloana se le seng se kopanyang lintho tse tharo kapa ho feta tse ikhethang tsa tlhokomelo ea moamoheli 'me e tsamaisa sehokelo sa taelo/karabo ka tshebeletso ya setjhaba ya ho tshwara dikahare. ntlha ea npoint[.]io Ka ho toba ha ho sebetse mabenkeleng a mangata; ho lemosa ka ts'ebetso e sa lebelloang eo ka bobeli e hapang lisebelisoa tsa ho kenya le ho bua le tšebeletso ea JSON-bin ho matla haholo.
Boitšoaro le ho rerela lintho tse hlokometsoeng
Lintho tse peli li etsa hore mohlala ona o be o sa tloaelehang, 'me ka bobeli ke linnete tse bonahalang ho fapana le ho ba le liqeto tse mabapi le sepheo.
E ile ea iphatlalatsa. Kakaretso ea sephutheloana e abuoeng ho PyPI e thathamisitse bokhoni ka puo e bonolo - phihlello ea hole, taolo ea komporo, tsamaiso ea basebelisi, webcam, molumo, keylogger, ho phehella, data ea sebatli, WiFi, ngoliso, "litaelo tse 140+." Ha hoa ka ha etsoa boiteko ba ho fetisa khoutu e le mothusi oa kaho, sephutheloana sa CLI, kapa sesebelisoa sa AI-agent, e leng sephiri se tloaelehileng seo re se bonang lingolisong tsa sechaba. Hore na ho buleha hoo ho bonts'a sesebelisoa sa sehlopha se sefubelu se phatlalalitsoeng ntle le taolo ea phihlello kapa ho hong ho hong ke potso eo litaba tsa sephutheloana feela li sa e rarolleng; se tiileng ke hore sesebelisoa sa ho fihlella hole le ho shebella se sebetsang, se sebetsang ka kakaretso se ne se ka kenngoa ke mang kapa mang ea nang le pip.
E ne e itshetlehile hodima tshepo tshebeletsong e se nang leeme. U sebelisa ntlha ea npoint[.]io kaha relay ke mokhoa o hlalosang. Ke mohlala oa mokhoa o pharaletseng - ho tsamaisa C2 ka SaaS e molaong (libaka tsa ho beha, lithōle tsa JSON, webo ea puisanohooks, litokomane tsa leru) e le hore sephethephethe se kotsi se kopane le mosebetsi o tloaelehileng oa moqapi 'me ho se be le ntlha ea ho qetela ea mosebelisi eo a ka e tšoarang. Mejaro e lefelloang ho relay e ne e patiloe, kahoo litaba tsa lithōle li ne li ke ke tsa baloa e le litaelo ho motho ea shebellang feela.
Matšoao a mohatisi a masesaane ebile a tloaelehile. Sephutheloana se phatlalalitsoe e le Mongoli ea "bafani ba gcli" le laesense ea MIT, 'me ea supa leqephe la eona la lehae le masimo a polokelo ho github[.]com/gcli-control/gcli. Ha ho le e 'ngoe ea tseo e leng netefatso: mohala oa mongoli ke mongolo o sa lefelloeng, hlooho ea laesense ea MIT ha e lefelle letho, 'me URL ea polokelo ho metadata ea sephutheloana ke tleleime, eseng bopaki ba tšimoloho. Paterone - lebitso le lecha, mongoli oa sehlopha se akaretsang, le org/repo ea boitlhaloso e entsoeng ho potoloha sephutheloana - ke kamoo projeke e shebahalang kateng ha e emisoa ka ho khetheha ho jara khoutu, ho fapana le sesebelisoa se thehiloeng se holisitseng tšobotsi ea taolo ea remote. Re hlokomela tsena e le lintho tse hlokometsoeng; li lumellana le, empa ka botsona ha li thehe, kabo e hahiloeng ka morero.
Re hlalosa phetisetso ena e le kotsi ho latela bokgoni le phano: kemiso e felletseng, e ka sebediswang ya phihlello ya hole le ho bewa leihlo, e abetsweng lenaneng la sephutheloana sa setjhaba le relay e patehileng. Ha re fane ka sepheo kapa sepheo.
Tšusumetso, mekhoa le seo basireletsi ba ka se etsang
Sebaka se sa boneng bakeng sa triage e shebaneng le ho ipata. Linotlolo tsa triage tsa sephutheloana tse iketsang haholo ho pata matšoao a malware e tloaelehileng ea ngoliso — marotholi a patiloeng, nako ea ho kenya hooks, ho kotula mangolo a le mong a nang le mangolo a bopaki. Sephutheloana se bonolo feela pepeneneng Rat, ka khoutu e hlakileng e baloang hantle le ho se na sehokelo sa ho kenya, ha e hlahise le e 'ngoe ea lipolelo tseo 'me e ka feta ka ntle ho li-heuristics tse lebellang ho patoa. Matšoao a tšoarang sehlopha sena ka mokhoa o tšepahalang a thehiloe sebopehong ho e-na le ho ipata: palo ea batho ba nang le bokhoni (hore na ke li-primitives tse kae tse fapaneng tsa tlhokomelo ea moamoheli tse teng hammoho ka har'a sephutheloana se le seng) le tlhahlobo ea sebopeho sa C2 (lupu ea taelo/karabo e fetisetsoang ka tšebeletso ea ho amohela litaba ka sepheo se akaretsang). Tseo li hlahloba mollo ho sa tsotelehe hore na li tšepahala kapa che. fapantsoe sephutheloana ke.
Mokhoa oa SaaS-as-C2. Ho sebelisa tšebeletso ea ho amohela e molaong hampe e le ho fokotsa litšenyehelo ha se ntho e ncha, empa e ntse e sebetsa hobane litšenyehelo tsa tšireletso tsa ho thibela tšebeletso li holimo 'me litšenyehelo tsa tlhaselo tsa ho fetola litšebeletso li batla li le lefela. Lebella ho feta moo. Litšireletso tsa marang-rang tse kentsoeng libakeng tse itseng tse mpe lia tsofala hang-hang; melao ea boitšoaro ("ts'ebetso ena e bala clipboard le webcam ebe e bua le API ea ho amohela lintlha") ha e etse joalo.
Seketso sa ho lemoha konkreite. Molao o tšoarellang ha o bolele ntlha ea npoint[.]io ho hang. E kopanya lintho tse peli tse hlokometsoeng tse tloaelehileng ka bonngoe empa li sa tloaeleha hammoho ho moqapi ea tloaelehileng kapa moamoheli oa CI:
temoso ha ts'ebetso e le 'ngoe, ka har'a thuto e le 'ngoe, ka bobeli:
(A) e fihlella sesebelisoa sa pele sa ho kenya (keyboard/mouse hook), khamera, maekerofounu, ho hapa skrine, ho bala-lebokose la clipboard, kapa lebenkele la mangolo a sebatli ("Login Lintlha" / "Setereke sa Lehae" / DPAPI); LE
(B) o etsa dikopo tse tswang ho tshebeletso ya setjhaba ya ho boloka dikahare/ho peista/JSON-bin/chat-webhook ebe o di kopa hore di hlahlojwe, ho sa tsotelehe tshebeletso e itseng ho (B).
Ha ho le e 'ngoe ea tsona e belaellang e le 'ngoe: lisebelisoa tse ngata tse nepahetseng li na le setšoantšo sa skrini, 'me li beha JSON e ngata ho API ea hosting. Kopano e ka hare ho ts'ebetso e le 'ngoe ea nako e khuts'oane ke lets'oao, 'me e pholoha potoloho efe kapa efe ea relay.
Mehato e sebetsang bakeng sa lihlopha:
- Tšoara ho kenngoa ha liphutheloana tsa sechaba ho bahlahisi le baamoheli ba CI e le moeli oa ts'ebetso, eseng boiketlo - RAT ho moemeli oa kaho ke RAT e nang le liphiri tsa hau.
- Khetha liipone tsa kahare tse thathamisitsoeng ka har'a lenaneo le lumelletsoeng; sephutheloana se reheletsoeng taolong ea remoutu le se hlalosang keylogger ha sea lokela ho rarolloa lenaneng la lik'hamphani.
- Tlhokomeliso mabapi le motswako — sesebediswa sa ho kenya kapa ho hapa skrine hammoho le sephethephethe se tswang ho ya tshebeletsong ya dikahare/ho peista/JSON-bin — ho ena le ho efe kapa efe ya kgale, e nang le tshebediso e seng kotsi e arohaneng.
- O se ke wa itshetleha ka lintlha tse "sireletsehileng" tse iketsahalletseng e le qeto ya ho qetela bakeng sa diphuthelwana tse nang le bokgoni bo boholo ba ho fihlella moamoheli; di ise tlhahlobong ya batho.
Lelapa la sephutheloana le arotsoe ka sehlopha se kotsi 'me le rometsoe ho tlosoa ha registry. Hobane C2 e thehiloeng ho relay ha e siee moamoheli ea nang le opereishene ho teba, boleng ba tšireletso bo tšoarellang bo ho monoana oa boits'oaro bo kaholimo, eseng ho keno efe kapa efe ea lenane la block.
