Linux et Social Engineering

[acloseone]

Bonjour,

Si je devais faire le test en grandeur réel, ce serait du "grey hack" avec tous les risques qui vont avec (mais j'avoue que ça démange, rien de tel que les conditions réelles...) donc je ne le ferais pas. Mais voici où j'en suis :

Mon hypothèse est celle-ci : On fait tout un foin sur le fait que Linux est bien plus sécurisé que Windows, et qu'on n'y trouve quasiment pas de malwares car ceux-ci soit ciblent principalement Windows, soit ne s'exécutent pas sur Linux. Or, on n'est pas tous des "tech saavy"... Je pensais donc à ceci (mais encore une fois, l'hypothèse n'est pas vérifiable sans "grey hacking" donc je vous la soumet plutôt :

- Proposer deux fois le même fichier libre-office (xls me parait bien), l'une contenant la macro malicieuse, l'autre une macro non malicieuse, peu importe ce qu'elles sont sensées exécuter pourvu que ce soit intéressant, et la rendre disponible par exemple via un lien depuis un forum d'informatique renvoyant vers un de vos sites "pirates" voire un site piraté. Ce site proposera au téléchargement les deux versions de ce fichier via un script en javascript en fonction de la signature du navigateur qui la télécharge (si c'est Windows, la pièce non malicieuse, et si c'est la signature de votre cible ou de vos cibles, la pièce malicieuse). Ca, je ne l'ai pas encore testé sur moi-même, je le ferais sans doute dans la semaine, le temps de bricoler le machin.

Honnêtement, ne vous feriez-vous pas avoir ?

Qu'en pensez-vous ?

[Krisscool]

Je suis pas convaincu par la macro. Ca fait des années que tout le monde se dit que c'est dangereux, et au final ça fait du taff pour pas grand chose. Je pense que la probabilité d'execution de ton script depuis le doc avec macro est pas beaucoup plus haute que si tu balançais un bon vieux .sh en le faisant passer pour un outil, au hasard, "d’auto-diagnostique Linux" (Quitte à rajouter quelques bricoles dans ton script pour faire croire à l'utilisateur final que ça fait bien ce qu'il croit que ça fait, et obfusquer un peu plus les parties louches).

Enfin pour le forum, pourquoi pas, mais : Si t'as 0 messages, ça fait louche. Si un mec découvre le but du script, il va le dire et personne d'autre ne le chopera // tu seras ban (et donc potentiellement retour à un compte qui fait louche avec 0 messages).

Je crois qu'a ta place j’hébergerai ça sur github en le faisant passer pour un tool de crack de clef WPA (ou n'importe quoi qui puisse être un peu à la mode), et j'irais post le lien sur des forums de scripts kiddies (tu sais, ces mecs qui sont foutus d'exec un .sh en root sous kali sans rien capter à ce qu'ils font xD).
Si tu veux le déployer plus massivement, tu peux même faire un vrai tool autour de ton script, dont l'objet officiel dépendra du public visé. (c'est d'ailleurs le principe des "10 Free Awesome Screensavers, Best add-on for IT admins, ...")

[acloseone]

Oui, effectivement. J'avais en effet penser à récupérer, par exemple, le script lazykali.sh (un ensemble de tools pour scripkiddies), et le balancer sur un site google refait à l'identique de celui de l'auteur original, puis récupérer sa vidéo youtube et la modifier pour changer les URL vers ma page google, et la balancer sur dailymotion (histoire que ce soit identique à l'oeil nu). Il n'y aura pas beaucoup de personnes qui auront gratter dans le script et ceux qui ont la flemme d'installer les outils un par un sont justement probablement ceux qui ne capteraient pas la supercherie, même en lisant le code.

[bambish]

Bonjour,

Pour reprendre ton idée et celle de Krisscool tu peux toujours développer un tool utile que tu met sur un GitHub. Pas besoin de faire quelque chose de très complexe, tu peux très bien forker quelque chose d'existant. Tant que ça simplifie la vie aux scripts kiddie, c'est bon. Dans ton script totalement légitime et sans danger (pour le moment), tu intègre une vérification de ton Git à chaque utilisation de la commande/service et une MàJ automatique si il y a modification par exemple. A partir de là:

- Tu poste ton tool pour qu'il soit utilisé
- Tu attend un peu que les admins le valide et que ta/tes cibles l'utilisent
- Après quelques temps, tu injecte ton .sh dans ton GitHub

Ce qui passera aux yeux des utilisateurs comme une simple MàJ te permettra d’exécuter plus ou moins ce que tu veux. Certaines de tes cibles pourraient même se dire "Une MàJ?! C'est quelqu'un de sérieux!". En règle général on se méfie peu des MàJ des programmes que l'on sait (pense) sains

Pour ajouter un peu de poids à ton poste, tu peu essayer de faire ami-ami avec quelqu'un de reconnu. Puis, un jour, prétextant un problème avec ton navigateur, lui demandé de poster ton tool à ta place. Dis comme ça sa parait un peu vraiment gros mais sait on jamais

[acloseone]

Merci pour vos commentaires. Ca commence à faire un paquet d'idées intéressantes !

C'est vrai qu'un fork pourrait aussi le faire. Avec une mise à jour, ça permettrait aussi de cibler en fonction de certains critères (distribution, modifs, applications installées) et ainsi de réduire la détection. C'est dur de ne pas se laisser tenter...

Pour le php, ça ne mange pas de pain, voici quelques lignes qui sélectionnent le fichier à faire télécharger en fonction du useragent (Ubuntu / non Ubuntu). On doit pouvoir faire plus précis, mais c'était pour le test :

<?php
$file1 = 'file.xls';
$file2 = 'malicious_file.xls';
$agent = $_SERVER['HTTP_USER_AGENT'];
if (strlen(strstr($agent, 'Ubuntu')) > 0) {
readfile($file2);
} else {
readfile($file1);
}
?>

Je vais juste essayer de faire quelques tests supplémentaires avec le BuildID et avec la signature des fonts (faut que je trouve comment ça marche !) car cette dernière est très précise tout en étant stable, si on la couple avec le BuildID et l'useragent.

[Look225]

J’adore les hackers mais malheureusement je n’en suis pas un mais je veux apprendre et travailler en toute confiance avec un hacker je suis un broubrou donc j’attends vos propositions pour que j’en suis puisse vous aider et vous mettre à l’epreuve Je veux un hacker cool

[acloseone]

Ah. Moi, comme indiqué dans ma présentation, je ne suis pas un hacker, mais quelqu'un qui s'intéresse à pas mal de choses. Trop de travail à faire sur sa propre image lorsque l'on en est un, et je porte très mal les sweats à capuche. En revanche, je suis plutôt cuir, lanières, martinet, et bouboule dans la boubouche, tout ça entre amis consentants, évidemment. Et c'est le seul point commun que j'ai avec un hacker : les nuits blanches à m'adonner à ma troisième passion, la seconde étant de fesser les chats.