Эксплуатация фреймворка Empire C2

[D2]

Источник: Перевёл: BLUA специально для xss.is

Этот отчёт отхватывает процесс эксплутации фреймворка Empire C2 версии ниже 5.9.3 и завершается рекомендациями для атакующих и защитных команд. Вы можете найти демонстрацию эксплойта здесь.

Как компания, сециализирующая на реалистичном оборонительном обучении, мы очень заинтересованы во внутреннем устройстве фреймворка управления и контроля(C2). Empire - это модернизированный, открытый фреймворк, оснащённый широким спектром возможностей. Изучение его внутренней работы предоставляет две возможности: во-первых, улучшить моделирование действий противника, и во-вторых, разработать новые защитные техники. При анализе процессов начальной загрузки и выполнения задач мы обнаружили несколько уязвимостей, которые злоумышленник мог бы использовать для получения root-доступа к серверу C2.

В понедельник, 5 февраля 2024 года, мы сообщили об этих уязвимостях компании BC Security. Команда разработчиков оперативно начала работу над устранением проблемы и выпустила первый черновой патч всего за 24 часа. К пятнице, 9 февраля, BC Security выпустила Empire версии 5.9.3, включающую тщательно протестированный патч, который полностью устраняет выявленные уязвимости.

Предистория Empire

Основная причина этих проблем впервые появилась в 2016 году, когда @zeroSteiner сообщил разработчикам об уязвимости обхода каталогов. Его эксплойт, получивший название Skywalker, использовал особенности того, как агенты Empire извлекают файлы с компрометированных хостов. Путём имитации агента он мог "обмануть" сервер C2, заставив его думать, что на задачу "Скачать