backdoor con meterpreter

[d0r127]

Buenas, quiero mostraros un ejemplo de como podriamos crear un backdoor con meterpreter,el escenario es el mismo del post anterior, con nuestra kali nos hemos metido en el Win XP y hemos creado una sesión de meterpreter, el problema es que si la victima reinicia o apaga el sistema nosotros perderemos la sesión pero meterpreter nos da la opción de poder crear un backdoor que al menos nos de algo de persistencia en el sistema y podamos recuperar la sesión si se produce un reinicio.

Para crear el backdoor utilizaremos un script de meterpreter, ejecutamos en nuestra shell "run persistence" y se ejecutara el script que nos permitira instalar un backdoor en el sistema.

Solo podremos tirar "run persitence" si tenemos permisos de administrador

Resultado al tirar "run persistence"

El resultado digamos que es un poco abstracto no? lo hemos tirao asi a ciegas si configurar ningun parametro ni ná pero era tan solo para ver como se resolvia.
Ahora veremos las opciones de persistence, escribimos "run persistence -h" y vemos las opciones que tiene.

Disponemos de varias opciones de configuracion, tanto como el payload que podemos usar como la localizacion de donde queremos ocultar el backdoor, cuanto tiempo intentara conectar y demás.

Procedemos a configurar nuestro backdoor

Con la opción -A establezco el multi/handler
Con la opcion -L C:\\ le digo que meta el backdoor en esa ruta
Con la opcion -X lo que le estoy diciendo es que se intente conectar una vez que inice el sistema
Con la opcion -r (IP) le digo que se conecte a esa IP que es mi direccion
Con la opcion -p sera el puerto con el que corra la conexion
Con la opcion -i sera el tiempo de intento de cada conexion es decir cada 10 segundos intentara recuperar la conexion hasta que logre conectarse

salimos del meterpreter y comprobamos que tenemos una nueva sesion

Comprobamos graficamente que se ha generado el fichero

Vale ahora tenemos que reiniciar el equipo de la victima esto supone que perdemos la sesion pero al haber creado el backdoor deberemos recuperar la sesion una vez finalice el reinicio,entonces cerramos la primera sesion y con la segunda sesion reiniciamos el sistema

La maquina se ha reiniciado, hemos perdido la conexion, pero en cuanto acabe veremos lo siguiente.

Vemos que hemos recuperado la sesion una vez que el usuario volvi a entrar al sistema, pero como podemos comprobar una vez que interactuamos con la sesion vemos que somos un simple usuario y no tenemos permisos de administrador

Pero no pasada nada, al usar el comando getuid conseguimos elevear privilegios y ser admin

Bueno hasta aqui mi post, espero que les haya gustado
Un saludo

Mod: no escribir títulos en mayúsculas

[kilodepala2]

el problema del modulo persistence es que es detectado por el antivirus...

mi idea fue la siguiente:

infecto a la victima con un payload powershell, que es indetectable.

una vez tengo acceso,  la infecto con un programa en c que funciona de la siguiente manera:

copiamos el shellcode de un payload generado con msfvenom.
esperamos 15 segundos, y ejecutamos el payload.
repetir lo anterior en un bucle infinito.

el problema de esto es que haria que se abra una nueva sesion de meterpreter cada 15 segundos, ademas la heuristica del antivirus podria detectarnos.

alguna idea?

[GUMEGA02]

Primero escala privilegios e intenta detener o desinstalar el antivirus, algunos de ellos no permiten
que su servicio se detenga.

[Gödric]

Muchisimas gracias por el aporte, asi puedo ir mejorando mis conocimientos.
Si alguien conoce algún post donde pueda aprender como esquivar o desactivar el antivirus y saber como infectar o aplicar el virus con ingenieria social u otra herramienta le estaría muy agradecido.
De todas formas seguiré buscando.
Gracias a todo el foro por compartir sus conocimientos.