三種高級USB密鑰網路釣魚攻擊場景

本文主要討論如何使用宏包繞過氣隙、下拉、PWN，並通過在HTA（HTML應用程序）文件中設置內容MS文件來探究黑客攻擊中發生的一些事情。

宏包是一種工具，用來自動生成混淆的MS Office文檔、VB腳本等格式。主要目的是評估滲透測試、演示和社會工程。宏包的目標是簡化進程的使用，繞過惡意軟體，並將VBA生成自動化到最終的Office文檔生成過程。

該工具的使用也非常簡單，沒有配置，一切都可以用一行代碼來完成，生成大部分的辦公格式和基於VBS的格式，高級VBA宏攻擊和DDE攻擊。

該工具與流行的PTENST工具（Meta ASTIGIT（帝國））產生的有效載荷兼容。它也易於與其他工具集成，因為它從STDIN讀取輸入並將其輸出到另一工具。宏包由Python 3編寫，支持在Linux和Windows系統上運行。

注意：Office文檔的自動生成或TROY木馬功能僅支持已經安裝在MS Office應用程序上的Windows平台。

由於我擅長能源行業的安全管理，在這一領域，安全狀況與傳統的計算機行業不同。例如，設備的可用性比保密更重要，並且系統通常不連接到網際網路（但是有例外，否則，WANACACRY如何發生）。因此，繞過空隙的安全防禦是攻擊者的必然選擇。GAP是英語中的「空隙」，GAP技術是一種技術，通過兩個或兩個以上的網路，通過專用硬體實現安全的數據傳輸和資源共享。GAP中文名稱是安全隔離門，它採用獨特的硬體設計，可以顯著提高內部用戶網路的安全性。

一般來說，對工業系統的攻擊是通過不需要連接到遠程系統的獨立惡意軟體負載來執行的。此外，惡意的有效載荷不需要泄漏數據，其主要目的是破壞設備。2010年6月首次發現的第一個Stuxnet病毒就是一個很好的例子，它也被稱為Stuxnet病毒，這是一個席捲世界的病毒，它是第一個專門針對現實世界中的基本（能量）設施，如核PO的蠕蟲病毒。水電站、大壩和國家電網。.

今天，我想向大家展示一些先進的USB密鑰攻擊，但該方法在實踐中還沒有發現，這是我在實驗攻擊環境中發現的。

攻擊場景一

設置攻擊環境

這1者之間沒有互聯網連接。攻擊設備

2。除了操作系統之外，在攻擊之前你不了解目標系統。

3.USB載入應該儘可能安全，而不觸發安全警報。

4。有效載荷的實施應在安全條件下儘可能地進行，即必須打開無害的文件。

設置這些環境的最終目的是提供和運行二進位有效載荷。在下面的例子中，有效載荷是一個DLL（有效載荷.dll），使用一個LNK文件，而操作系統是MS Windows OS，具體的攻擊過程我會在下面介紹。

攻擊策略

我的任務是讓目標用戶認為他打開了一個圖片文件（Buff.jpg），但事實上，他打開了一個惡意的LNK快捷文件（Buffice，JPG.LNK）。此時，HTA釋放（滴管）被隱藏在快捷方式中，LNK將執行HTA，HTA將依次刪除原始圖標，執行DLL有效載荷，並用假圖標（機密。JPG）替換它。

執行DLL有效載荷的HTA文件

我將使用宏包創建一個將載入PayLoad .dLL的模糊HTA有效載荷。

EngultDLMnEngalMyPosik.EXE--模板=嵌入-DLLL——Enaby= PayLoad .DLL——混淆G payload.hta

在這一點上，EntPixDLL模板將創建一個VB代碼，該代碼將被載入到一個載入有「嵌入」擴展名並載入RundL32 L的文件中。現在，我可以命令嵌入DLL模板來運行「DLLMIN」函數。

我可以使用-g選項生成HTA文件，文件中的VB代碼需要混淆。為此，您可以使用MSHTA來檢查HTA文件是否可以正常工作，以及是否可以調用DLL（此時，DLL文件已在臨時目錄中釋放）。

建立釋放有效載荷的HTA圖片

我還可以使用嵌入的宏包模板來嵌入、釋放和運行我所選目錄中的負載。

在本文的例子中，我將使用一個「機密的JPG」圖片。我的目標是把它放在與惡意LNK相同的文件夾中，這樣它就可以在執行DLL有效載荷之後替換LNK。

迴音「機密.jpg」，MaxyPoC.EXE-T嵌入EXE-Enaby= Cuffial.jpg -o G pic.hta

如果雙擊PIC.HTA，您將看到Cudial.jPG出現在當前文件夾中，並在默認圖像查看器中打開。

自刪除HTA文件中的封裝

因為多個二進位有效載荷不能同時嵌入到宏包中，這意味著我必須生成DLL釋放器和圖片釋放器。此外，我還需要手工複製和粘貼來創建最終的HTA有效載荷。

具體操作步驟如下：

1。打開有效載荷。HTA和PIC。文本編輯器中的HTA。

2。重命名PIC的自動打開功能。HTA到AutoOpen2；

三。將所有VB代碼從PIC.HTA複製到PayLoad .HTA（除了最後兩行，它們調用AutoPoT和Calp）。

4。編輯PayLoad .HTA文件的最後兩行的自動打開和關閉代碼；

AutoOpen2

自動打開

設置ObjfS= CreateObject（「腳本。文件系統對象」）

設置WShell＝CuraTeObjt（「WScript .shell」）

ObjFSO。刪除文件窗口。文件。位置。路徑名

關閉

現在，PayLoad .HTA文件將發布並運行圖片，然後運行DLL，最後刪除自己的文件。

注意：如果您希望能夠多次使用相同的USB密鑰，請刪除自身刪除代碼並將圖片釋放到臨時文件夾，而不是當前文件夾。

創建惡意LNK

我將使用HTA文件的便利屬性將其嵌入到LNK中。因為LNK的文件名是保密的.JPG.LNK，我希望LNK命令如下：

%Widir %Stase3\CMD.EXE/C開始「」，「MSHTA」，「%CD%Mistaby.JPG.LNK」

注意：構建USB有效載荷的一個挑戰是負載需要知道它們的具體路徑。在本文中，我依賴於宏包，它可以配置LNK文件載入到當前文件夾中。這樣，可以通過使用「%CD%」命令來知道當前負載的名稱和路徑。

現在，我可以使用宏包生成LNK，並在USB密鑰中直接生成快捷方式，以避免在創建快捷文件後對系統進行更改，其中USB密鑰的卷名為「G:」。

MaGuangPoC.EXE-G G:Buffistal.JPG.LNK

當提示「短截目標」時，請輸入以下內容：

%Widir %Stase3\CMD.EXE/C開始「」，「MSHTA」，「%CD%Mistaby.JPG.LNK」

當提示「快捷圖標」時，請輸入以下內容：

%Widir %Stase3IMAGELS.DLL，67

注意，67代表IGILDE.DLL中的JPG圖片。

在完成了LNK快捷方式創建之後，我可以向其添加HTA代碼。

複製/bg:機密。jpg.Lnk+CMD.HTA G::COMPIDENAL.JPG.LNK

如上所述，構建網路釣魚負載的整個過程。

模擬攻擊過程

首先，將Cuffial.jpG.LNK複製到USB密鑰，然後將USB密鑰插入另一個Windows系統的計算機中，訪問U盤並雙擊Cudial.jPG，然後您將看到圖片。

此時，上面構建的DLL已經開始秘密載入，但是您可以使用TaskMGR或SysSimules的PROXEP來觀察正在運行的DLL。此時，DLL將在臨時文件夾中作為「文檔1 .ASD」發布，並使用以下VisualBasic行執行。

CreateObject（「WScript .shell」）運行「%Widir%Stave3RundLL32.exe %TEMP%Dopt1.asd， >」，0

一旦執行開始，您將看到在USB密鑰上的LNK不再存在，並且它已經被一個被誘導的圖像所取代。

距離100000+只差你的轉發

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！