鱼饵-安装包 捆绑马

admin 2024年2月10日20:32:09评论23 views字数 1437阅读4分47秒阅读模式
0x00 手法介绍

在之前的鱼饵部分我写过Winrar捆绑马、资源文件捆绑马,他们的作用都是为了将我们的恶意exe与要打开的附件捆绑在一起,达到匹配需要打开文案的钓鱼场景。

鱼饵-安装包 捆绑马

之前鱼线部分共享了很多的实用钓鱼文案,在那些文案中以信息安全部查杀木马为由的文案居多。因为那些文案不需要捆绑什么附件,直接将恶意打包成zip发送过去即可。

鱼饵-安装包 捆绑马

上述两种方式,捆绑马与直接发送EXE都是为了符合对应文案,这是第一要素

今天我会教大家做一种“新颖”的安装包捆绑马,顾名思义就是将我们的木马文件与一些正常文件一起做成安装包。当别人按照流程安装完后就会上线木马,这种方式更加逼。主要适配在两大场景:

1.红队:以信息部门的口吻,让其他同事安装某款软件。当对方点击后安装包捆绑马后,一切按流程走那么就非常隐蔽。

2.蓝队:在蜜罐中放置打包好的压缩包与“专项内网VPN”账号密码本,通过这种方式诱导初级红队下载回去点击木马。

鱼饵-安装包 捆绑马

0x01 使用的工具

1.DLL注入工具 作者:拿破轮胎

2.深信服VPN安装包

3.NSIS打包工具

在后台回复"安装包"即可获取本次实验用到的exe,在此声明请在虚拟机中进行实验。工具来源自互联网不确定没有病毒,谨记谨记

0x02 DLL劫持制作

首先安装深信服VPN,最后目录如下:‍

C:Program Files (x86)SangforSSLSangforCSClient

SangforCSClient.exe为快捷方式实际运行文件,且当前处于32位文件夹下

鱼饵-安装包 捆绑马

在这里生成cs4.9的32位DLL文件

鱼饵-安装包 捆绑马

以管理员权限打开“DLL注入工具 作者:拿破轮胎”,进入劫持文件

鱼饵-安装包 捆绑马

在文件中选中对应的DLL与SangforCSClient.exe文件以此生成新的可加载恶意dll的exe

鱼饵-安装包 捆绑马

如果没有以管理员权限打开可能会提示占用,正常情况就是生成成功

鱼饵-安装包 捆绑马

在这里就生成了加载恶意dll的新文件

鱼饵-安装包 捆绑马

记得将恶意DLL放置在此目录下,并且放置后点击文件进行测试查看是否可以正常上线。

此时程序正常打开,并且CS能够上线

鱼饵-安装包 捆绑马

在这里上线进程为SangforCSClient.exe,因此上线后记得权限维持或者进程转移,避免exe关闭后进程掉线!

鱼饵-安装包 捆绑马

鱼饵-安装包 捆绑马
鱼饵-安装包 捆绑马
0x03 安装包制作

在这里我们需要先安装“NSIS打包工具”,随后根据我截图中的过程进行制作

鱼饵-安装包 捆绑马

点击可视化脚本编辑器,选择使用脚本向导创建新的脚本文件

鱼饵-安装包 捆绑马

鱼饵-安装包 捆绑马

配置对应的应用程序信息,单击下一步

鱼饵-安装包 捆绑马

选择对应安装程序的图标文件以及名称继续下一步,在这里要使用我们本地安装VPN的ICO。

鱼饵-安装包 捆绑马

使用替换设置,继续下一步。

鱼饵-安装包 捆绑马

继续下一步

鱼饵-安装包 捆绑马

指定应用程序文件夹,注意重置包含子目录。

鱼饵-安装包 捆绑马

编辑快捷方式

鱼饵-安装包 捆绑马

设置安装完成后自动运行

鱼饵-安装包 捆绑马

设置解除安装程序

鱼饵-安装包 捆绑马

此时就设置完了大部分,可以将.nsi文件自定义放置位置,主要用于最后生成安装包

鱼饵-安装包 捆绑马

在这里需要修改部分,首先删除第24行

!insertmacro MUI_PAGE_LICENSE "........pathtolicenceYourSoftwareLicence.txt"

鱼饵-安装包 捆绑马


然后在50行后面增加此行代码
CreateShortCut "$DESKTOPEasyConnectdll.lnk" "$INSTDIRSangforCSClientSangforCSClient.exe" "" "$INSTDIRSangforCSClientEasyConnect.ico"

鱼饵-安装包 捆绑马

最后文件生成在.nsi目录下

鱼饵-安装包 捆绑马

鱼饵-安装包 捆绑马

鱼饵-安装包 捆绑马

此时就会按照正常安装文件的流程去走,最后安装完后执行我们的CS文件

鱼饵-安装包 捆绑马

鱼饵-安装包 捆绑马

原文始发于微信公众号(猫蛋儿安全):【猫蛋儿钓鱼】鱼饵-安装包 捆绑马

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年2月10日20:32:09
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   鱼饵-安装包 捆绑马https://cn-sec.com/archives/2210194.html

发表评论

匿名网友 填写信息