backdoor coding: analisi di una semplice backdoor e prime applicazioni

1LibreOffice Productivity Suite

Dr. Lentini SalvatoreComputer Scientist & Junior Penetration Tester

Lab. Backdoor CodingAnalisi di una semplice backdoor e prime applicazioni


Cos una backdoor?Una backdoor un programma, che dopo essere stato installato allinterno di un sistema, permette ad un utilizzatore di poter accedere su tale sistema, passando tutti i controlli diautenticazione usati tipicamente per accedervi.Per questo motivo, quando si parla di backdoor, ci si riferisce ad esse come una porta apertaper accedere al sistema, lasciata aperta intenzionalmente per scopi leciti o meno.

Scopi leciti? Una backdoor pu essere usata da un amministratore per svolgere il propriolavoro in completa mobilit in un sistema o allinterno di una rete, accedendo alla macchinada remoto, senza doversi autenticare di volta in volta portando quindi ad un notevole risparmiodi tempo. possibile anche che questultimo usi una backdoor per controllare le varie attivitsvolte dai vari dipendenti allinterno di una azienda.

Scopi illeciti? Una backdoor pu essere usata, ed unicamente usata, da un attaccante peravere un punto di accesso al sistema. Lattaccante, dopo aver installato una backdoor sulsistema della vittima, si garantisce una porta aperta che pu sfruttare peraccedere in maniera indisturbata tutte le volte che vuole al sistema, senzache lutente se ne accorga.

Una backdoor lavora in background, senza aver bisogno dellinterazionedellutente o dellattaccante. Lutente infatti non sa che il proprio sistema possiede una backdoor. Gli antivirus sono in grado di rilevare le backdoorMa in base al livello su cui girano e al grado di sofisticatezza risulta difficileindividuare una backdoor.


Rischi dellavere una backdoor installata...

Un attaccante, attraverso una backdoor in grado di: Rubare informazioni sensibili dal nostro computer Violare la nostra intimit digitale e locale. Digitale perch avr accesso ad informazioni come foto, video, cronologia

internet. Locale perch usando strumenti come la webcam e il microfono del nostro

computer come se entrasse nellambiente allinterno del quale si trova la vittima, cio come se entrasse fisicamente nella stanza poich sentirebbe e vedrebbe tutto ci che sta avvenendo in quel medesimo istante. Installare altre backdoor in modo da garantirsi altri punti di accesso al sistema qualora una di queste venisse rilevata da un antivirus Portare avanti altri attacchi, ad esempio inserire il sistema infetto allinterno di una BOTNET al fine di far partecipare il sistema come zombie durante un attacco DOS verso una banca, unazienda, una multinazionale, (Il problema sta quando le autorit busseranno alla nostra porta, alla fine dellattacco)Accedere al sistema in maniera indisturbata tutte le volte che vuole e quando vuole. A patto che il sistema sia acceso e sia disponibile una connessione ad internet!


Backdoor in Python

Il codice che vedremo una semplice backdoor realizzata in Python per scopi didattici. Essa non fa altro che ritornare allattaccante semplici informazioni come: il Sistema operativo del sistema vittima la lista dei file presenti in un certo percorso passato.Architettura: Client / Server


Client (Usato dallattaccante) 1/2

Questa la parte della backdoor usata dallattaccante.


Client (Usato dallattaccante) 2/2


Server (Installato nel sistema vittima) 1/2

Questa la parte della backdoor installata sulla macchina della vittima. Lattaccante tramite la parte client si ci connette in remoto e manda comandi, ricevendo delle risposte.


Server (Installato nel sistema vittima) 2/2


Esempio


Conclusioni?Quello che abbiamo appena visto il codice sorgente della backdoor che a sua volta un programma a tutti gli effetti. Il codice sorgente se interpretato da un lettore con conoscenze di programmazione ed in generale da un qualsiasi sviluppatore, permette di capire come si comporta il programma (ovvero quello che fa il programma).

Il principale problema del software chiuso (da cui prende questo nome) che in programmi chiusi il codice sorgente non accessibile agli sviluppatori per capire come fatto il programma (studiare/cultura), migliorarlo (sistemarlo e/o perfezionarlo) o semplicemente sapere se fa quel che dice di fare (sicurezza). Qualsiasi tentato accesso al codice, costituisce una violazione punibile pesantemente dalla legge.

Quindi, chi usa sistemi chiusi non sa se in tali sistemi, esistono routine di codice che si comportano come backdoor! Per il semplice motivo che non si pu accedere al codice sorgente.

Usare sistemi aperti, invece, permette di capire come fatto il programma,quindi sappiamo come si comporta in ogni minimo dettaglio, possiamomigliorarlo e studiarlo incrementando la nostra conoscenza e se siamodegli sviluppatori prendere spunto per delle future implementazioni.

Da notare che una cosa avere una backdoor pre-installata nel sistema( il produttore a metterla) mentre un altra inserire in un sistema compromesso( lattaccante ad installarla dopo aver trovato un modo per compromettere il sistema).


Prime applicazioniDopo aver visto e analizzato una semplice backdoor, andiamo a vedere delle prime applicazioni sulluso delle backdoor. Le backdoor, sono usate nella fase di Maintaining Access, successiva alla fase di Exploitation del sistema. La fase di exploitation del sistema consiste generalmente nel trovare un modo per poter far breccia nel sistema trovando una vulnerabilit da sfruttare oppure una strategia affinch sia possibile accedere al sistema. Come possibile capire, questa una fase non sempre ripetibile dato che le vulnerabilit possono essere fixate tramite le patch mentre certe strategie possono non funzionare, ad esempio se pensiamo di inviare un file che dovr essere aperto dalla vittima. Per questo motivo, la fase di mantenimento dellaccesso consiste proprio nel garantire un accesso permanente al sistema dopo che esso stato compromesso, senza doverlo di volta in volta exploitare e per fare questo si usano proprio le backdoor.

Nellesempio che vedremo abbiamo una macchina con sopra Windows 7 SP1.Lattacco che lanceremo un Remote Code Execution tramite una shell meterpreter reverce_tcp. Come prima cosa creeremo il file che la vittima dovr eseguire, imposteremo la nostra macchina linux per lattacco affinch si metta in ascolto aspettando che il file venga aperto e non appena il file sar eseguito, sar ritornata una shell meterpreter la quale non altro che una normale shell di Linux/Windows ma con moltre altre e interessanti funzionalit in pi. A questo punto caricheremo la backdoor la quale anchessa fa uso di una shell meterpreter.


Exploitation

Creazione del Payload da inviare alla vittima


ExploitationConfigurazione della macchina Linux affinch si metta in ascolto aspettando che il payload inviato,venga aperto. In foto, la macchina stata Exploitata. Ho inviato il payload alla vittima tramite il

servizio sendspace che permette di inviare file e condividerli tramite link. Poi tramite goo.g ho cambiato lurl riducendolo. Ho quindi usato una strategia di Phishing per fare in modo che la vittima aprisse il payload.


Maintaining AccessNotiamo che la macchina che abbiamo exploitato ha Windows 7, come ci aspettavamo

Installiamo la backdoor (Persistence, Persistente ovvero resiste al riavvio del sistema vittima)


Maintaining AccessSfruttamento della backdoor al riavvio del sistema

Avendo installato la backdoor, da questo momento in poi se volessimo entrare nella macchinanon dovremo exploitare pi il sistema ma richiamare semplicemente la backdoor sulla porta 1234tutte le volte che vorremo! Essendo persistence, non dovremo preoccuparci che il sistema dellavittima venga riavviato.


Funzionalit della backdoor

Digitando help possibile avere una lista delle funzionalit della shell MeterpreterDi seguito vengono mostrati una serie di esempi usando una backdoor. Spero che lutente possa rendersi conto della pericolosit dellavere una backdoor installatasulla propria macchina!

1) Lista processi



2) Kill ProcessoSulla macchina Windows abbiamo il notepad aperto. Lo chiudiamo. Lo stesso pu essere fattoper quanto riguarda lantivirus e qualsiasi altro processo.

Tramite la lista dei processi vediamo tutti I PID (Process ID) e digitando KILL seguito dal PIDandiamo a killare quel particolare processo. In un sistema, ogni processo riconosciuto dal proprio PID



3) ScreenShot



5) KeyLoggerE possibile leggere Password, User, testo di chat . e relazioni amorose che non ciaspettavamo!



6) Usare microfono e webcamRegistrare audio dal microfono, registrare dalla webcam, fare una foto dalla webcam.(In foto, minuti di pausa durante una lezione universitaria)


Curiosit

Mark Zuckerberg ci tiene alla propria privacy!


Curiosit

VI INVITO A FARLO!


All text and image content in this document is licensed under the Creative Commons Attribution-Share Alike 3.0 License (unless otherwise specified). "LibreOffice" and "The Document Foundation" are registered trademarks. Their respective logos and icons are subject to international copyright laws. The use of these therefore is subject to the trademark policy.

Grazie per lattenzione

RISORSEhttps://batysbase.com/meterpreter-persistence-creare-backdoor-persistente/https://www.metasploit.com/

http://creativecommons.org/licenses/by-sa/3.0/http://wiki.documentfoundation.org/TradeMark_Policyhttps://batysbase.com/meterpreter-persistence-creare-backdoor-persistente/https://batysbase.com/meterpreter-persistence-creare-backdoor-persistente/https://www.metasploit.com/

Section Header ExampleDefault ExampleDiapositiva 3Diapositiva 4Diapositiva 5Diapositiva 6Diapositiva 7Diapositiva 8Diapositiva 9Diapositiva 10Diapositiva 11Diapositiva 12Diapositiva 13Diapositiva 14Diapositiva 15Diapositiva 16Diapositiva 17Diapositiva 18Diapositiva 19Diapositiva 20Diapositiva 21Diapositiva 22Final Slide Example

backdoor coding: analisi di una semplice backdoor e prime applicazioni

Science