Cómo generar puertas traseras para controlar sistemas Windows y Linux con Villain

Villain es un generador de puertas traseras para Windows y Linux y un controlador multisesión que permite a los usuarios conectarse con servidores hermanos (otras máquinas que ejecutan Villain) y compartir sus sesiones de puerta trasera. Es útil para trabajar en equipo.

La idea principal detrás de los payloads generados por esta herramienta se heredaron de HoaxShell. Se podría decir que Villain es una versión evolucionada inducida por esteroides.

Esta es una versión beta que se está probando actualmente.Si tienes problemas de detección, debes ver este video sobre cómo omitir la detección basada en firmas. 

Presentación en videos

Reciente e impresionante presentación hecha por John Hammond:

Demostración de lanzamiento original, hecha por el desarrollador:

Descargo de responsabilidad: ejecutar los payloads generados por esta herramienta contra hosts que no tienes permiso explícito para probarlos es ilegal. Tú eres responsable de cualquier problema que puedas causar al usar esta herramienta.

Instalación y uso

git clone https://github.com/t3l3machus/Villain
cd ./Villain
pip3 install -r requirements.txt

Debes ejecutar el siguiente comando como root:

Villain.py [-h] [-p PORT] [-x HOAX_PORT] [-c CERTFILE] [-k KEYFILE] [-u] [-q]

Para obtener más información sobre el uso de Villain, puedes consultar esta guía de uso.

Notas importantes

1. Villain tiene una función de payloads de ofuscación automática incorporada para ayudar a los usuarios a evadir las soluciones antivirus (para payloads de Windows). Como resultado, los payloads no son detectados (por el momento).
2. Cada payload generado funcionará solo una vez. Un payload ya utilizado no se puede reutilizar para establecer una sesión.
3. La comunicación entre servidores hermanos está cifrada con AES utilizando el identificador (ID) del servidor hermano del destinatario como CLAVE de cifrado y los 16 primeros bytes del ID del servidor local como vector de inicialización (IV). Durante el protocolo de enlace de conexión inicial de dos servidores hermanos, el ID de cada servidor se intercambia en texto plano, lo que significa que el protocolo de enlace podría capturarse y usarse para descifrar el tráfico entre servidores hermanos. El desarrollador sabe que esto es una “debilidad”. No obstante, aclara que no se supone que sea súper seguro, ya que esta herramienta fue diseñada para usarse durante las pruebas de penetración/evaluaciones de seguridad, para las cuales este esquema de cifrado debería ser suficiente.
4. Las instancias de Villain conectadas entre sí (servidores hermanos) también deben poder comunicarse directamente entre sí. En el futuro, asegura el desarrollador, agregará una utilidad de mapeo de rutas de red para que los servidores hermanos puedan usarse entre sí como un proxy para lograr una comunicación cruzada entre ellos.

Funcionamiento 

Limitaciones

• Una shell de puerta trasera se bloquea si se ejecuta un comando que inicia una sesión interactiva.

Ventajas

• Cuando se trata de Windows, los payloads generados pueden ejecutarse incluso en el Language Mode de restricción de PowerShell.
• Los payloads generados pueden ejecutarse incluso por usuarios con privilegios limitados.