Evilgrade – проведение MITM атак для взлома устройств

Evilgrade – это модульная структура, которая берет на себя целевые машины, вводя поддельные обновления в плохо обновляемые системы с использованием стратегии атаки MITM. Evilgrade имеет модули WebServer и DSNServer для работы в рамках структуры атаки MITM. Evilgrade требует манипулирования трафиком DNS жертвы для работы. Это может быть достигнуто любым из следующих способов.

ARP Spoofing
DNS Spoofing
DHCP Spoofing
TCP Hijacking
Wifi AP Impersonation
Having DNS access

Evilgrade – это модульная структура. Он упакован с рядом модулей. Каждый модуль эмулирует поддельное обновление для конкретного приложения. Наиболее часто используемые приложения включают Notepad, Skype, Photoscape, Java 1.6.0_22 winxp / win7, VirtualBox (3.2.8), Filezilla, Ccleaner 2.30.1130, прошивку и Orbit.

Установка Evilgrade

Мы можем клонировать репозиторий Evilgrade из github на Kali Linux, используя следующую команду:

git clone https://github.com/infobyte/evilgrade

Evilgrade требует следующие модули.

Data::Dump
Digest::MD5
Time::HiRes
RPC::XML

Необходимые модули могут быть установлены с использованием оболочки cpan. Например, введите «cpan», а затем следующую команду, чтобы установить необходимый модуль RPC::XML. Повторите процесс для других модулей, заменив имя модуля.

install RPC::XML

Установка зависимостей evilgrade — Источник: LHN>LatestHackingNews.com

Альтернативный способ установки Evilgrade – создать каталог и установить в нем Evilgrade. Каталог можно создать следующим образом.

mkdir –p /root/evilgrade

Перейдите во вновь созданный каталог и установите Evilgrade, используя следующие команды.

cd evilgrade
tar -xvf isr-evilgrade-2.0.0.tar.gz

Запуск Evilgrade Framework

После успешной установки запустите Evilgrade Framework, используя следующую команду в терминале.

./evilgrade

Команда переведет Evilgrade в интерактивный режим. Чтобы просмотреть список доступных модулей, выполните следующую команду.

show modules

В настоящее время в структуре доступно около 80 модулей. Выберите любой модуль для настройки и создания поддельных обновлений. Например, мы можем использовать модуль notepadplus для создания фальшивых нот-пакетов + обновлений приложений.

Модуль можно настроить с помощью следующей команды.

configure notepadplus
show options

Существуют различные варианты, включая опцию виртуального хоста. Опция виртуального хоста используется в настройке DNS для захвата обновлений. На следующем шаге нам нужно создать полезную нагрузку, которая будет использоваться в качестве агента в поддельном обновлении. Полезная нагрузка может быть создана с использованием msfvenom или любого другого инструмента Linux. Обратная оболочка используется в полезной нагрузке для соединения с целевой машиной. Как только полезная нагрузка создается, она передается Evilgrade, которая запускает ее как агент, используя следующую команду.

set agent

Загрузите блокнот + setup, который требуется во время взаимодействия с целевым хостом. После настройки Evilgrade Framework следующим шагом является перенаправление трафика DNS с использованием любого из вышеперечисленных методов. Нам также необходимо выяснить, какие хосты будут доступны. Это может быть достигнуто с помощью любого инструмента сканирования. Как только цель идентифицирована, следующим шагом является передача полезной нагрузки цели. Цель получает окно быстрого сообщения, показывающее им доступное обновление для приложения «Блокнот +». Если пользователь продолжает обновление, он обрабатывается через веб-сервер Evilgrade. Агент от веб-сервера Evilgrade переходит к машине жертвы. Поскольку он оснащен обратной оболочкой, на машине жертвы создается оболочка для использования целевого хоста.

Выводы о Evilgrade Framework

Evilgrade – это мощная инфраструктура, оснащенная несколькими модулями, которые могут очень эффективно генерировать поддельные обновления для ввода целевых хостов. Однако роль Evilgrade является вторичной. Во-первых, нужно заставить манипулировать трафиком DNS, чтобы заставить инструмент работать. Другим недостатком инструмента является его ограничение работы только с приложением / программным обеспечением, которое не требует цифровых сертификатов для аутентификации запросов.