Noob "Hacker" gépén

Na akkor a picit érdekesebb dolog. Ilyenkor az ember megpróbálja beazonosítani hogy milyen a C2 server. Ezt néha már megszokásból egyszerű, de vannak ahol nem oylan egyértelmű. Ebben az esetben egy keyBase-ről beszélünk még a régiebbi verziók körül. Gondolom ez volt ingyen ezt töltötte le.
Én azt szoktam csinálni az ilyen esetekben hogy megpróbálom én is megszerezni a C2-t valahonnan az internetről. Localhoston hostolom és megnézem hogy néz ki, mi van benne, hogy épül fel stb. Utánna összeállítok egy listát a mappaszerkezetéről, megismerem mit hogyan tölt fel, esetleg találsz sérülékenységet is.
Fogtam és BURP-be betöltöttem az összes publikus lehetséges file-t és foldert ami létezhet és megnéztem hogy létezik e a támadónál is. Minden stimmelt így gyorsan kiderült hogy sokat nem változtatott rajta ergo ugynazokkal a beállításokkal megy neki is. (Az újabb verzidós keybase-ben vannak változtatások felépítés tekintetében, azért csináltam ezt)
Az első ami ilyen by default az hogy mikor a malware feltelepül a gépedre csinál róla print screent X időnként és feltölti a C2-re. Ez a folder browse-olható by default. De nem úgy kell lelképzelni hogy van a www.malwareXYXYX.com/keybase/ és akkor látod a képeket. Nem lehet így "odalépegetni". Ehhez elsőnek tudnod kell az adott keybase user nevét, illetve hogy hol kezeli a képeket. Szóval www.malwareXYXYX.com/usernev/webpanel/Screens/
Ez létezett is, láttam hogy az adott user alatt milyen screen capture van. De ezen felül még van 2 sebezhetőség ebben a verzióban, az egyik az egy SQLI a másik pedig egy file upload vul. Persze mivel etikusak vagyunk nem csináltunk semmi ilyet de azért jó fejben tartani, ki tudja mikor lesz rá szükség.

Megnéztem a képeket amik voltak és akkor lehetett látni hogy kiket fertőzött meg.
Aztán próbáltam más usert is kipörgetni (dirbuster/burp) hátha többen vannak. És akkor jött egy másik user ami alatt érdekes képek voltak. Most azt fogják mondani hogy elég béna az ember, amugy igen elég béna, de a saját gépén is tesztelte anno a malware-t. Ergo látam a saját gépéről is képeket. Ez amugy nem annyira ritka dolog azoknál akik keybast használnak. Illetve ha nem kezdem el pörgetni hogy van másik user is akkor sose derül ki.
Na de hogy legyen most már kép tartalom is itt van pár printscreen a gépéről.

Pár hely ahonnan adatokat lopott:

És igen, ennyire egyszerű sok helyen megugrani a securityt. Sajnálatos, de látjátok itt sem kellett "okosnak" lennie és mégis bejutott cégekhez és emberekhez.
De ez a kép is egész érdekes volt, miért kellett neki. Később kiderült, de azt sajnos nem oszthatom meg.

Magáról az emberről aki elkövette direkt nem raktam be képet, mert itt az érdekelt inkább hogy mit csinál a gépén. Aki meg megnézi a desktopját az látni fogja. :) De logikus full profil van róla otthoni IP címen át forum regek telefonszám minden.

Note: a következő cikkben szerintem az lesz hogy a béna ember is sokat tud keresni.