Vous êtes un attaquant en mode « Red Team », et vous voulez éviter d’être détecté par le SOC ? Vous devez communiquer avec un C&C bloqué par politique ? Vous avez des données confidentielles à envoyer sur un canal résistant au déchiffrement TLS ? Enter the Empire...
Le framework Empire [1] repose sur le lancement d'un ou plusieurs agents communiquant avec un serveur léger ou listener. Ce listener, comme son nom l'indique, écoute les connexions entrantes des agents et permet de leur faire exécuter un nombre impressionnant de commandes.
Il intervient à l'étape de post-exploitation : lorsque le poste est déjà compromis ou qu'un utilisateur est poussé à lancer un agent Empire.
Il repose sur des communications chiffrées aux niveaux réseau et applicatif, ainsi que sur une architecture flexible : sa rapidité de déploiement, ses plus de 200 modules, et sa relative furtivité, en font un outil de choix pour tous les pentesteurs et autres attaquants en mission de type Red Team.
Cet article se concentrera sur un aspect réduit, mais fondamental de l'utilisation d'Empire : l'établissement de communications avec un listener dont il sera difficile voire impossible pour le défenseur de retracer l'origine, via la technique du domain...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première