Si ayer nuestro compañero Yago presentaba la versión 1.0 de Patriot NG, ahora os enseñamos como gracias a este programa podemos detectar y mitigar un ataque mediante un exploit que, en este caso, vamos a lanzar desde Metasploit Framework.
El exploit que usaremos va a ser windows/browser/ms10_046_shortcut_icon_dllloader(el fallo de los .lnk), el cual vamos a explotar a través de Internet Explorer. Como payload usaremos windows/shell_reverse_tcp para obtener el control del equipo remoto mediante consola de comandos.
Metasploit abrirá un puerto, al que conectaremos con IE. La configuración es la siguiente:
Al conectar al puerto, IE abre una carpeta compartida donde tenemos el .lnk y un .dll. Patriot nos avisa de que ha detectado una ventana oculta del proceso cmd.exe y una nueva conexión abierta por el proceso svchost.exe. Esto significa que en un principio el ataque está funcionando, ya que si cmd.exe se está ejecutando quiere decir que el payload se ha cargado.
Vamos a decirle a Patriot que permita las conexiones de red, y que nos muestre la ventana oculta del proceso cmd.exe:
Ahí tenemos la consola con la que interactúa nuestro atacante, la cual estaba oculta pero Patriot ha hecho visible. Si la cerramos, la interacción con la víctima por el lado de Metasploit termina, es decir, el atacante pierde el control sobre la máquina afectada.
Este es un ejemplo sencillo con el que podemos ver como Patriot puede hacer visibles ventanas ocultas, y como nos ayuda a repeler (e incluso «desmantelar») un ataque de este tipo.
Este es un ejemplo sencillo con el que podemos ver como Patriot puede hacer visibles ventanas ocultas, y como nos ayuda a repeler (e incluso «desmantelar») un ataque de este tipo.