Y llegó la hora de iBombShell. La herramienta que presentamos en BlackHat 2018. Sobre iBombShell se contó cómo empezó y que se quería hacer al principio. El nacimiento del modo Everywhere, una shell para Ethical Hacking que descargásemos de forma dinámica y que nos permitiera disponer de una gran cantidad de funcionalidades de pentesting en cualquier lugar, gracias al uso de Powershell.

Figura 8: BlackHat Arsenal: Tools for Research & Pentesting [Parte 2 de 2] iBombShell

En el momento que necesitásemos de una nueva funcionalidad se descargara a memoria esta funcionalidad, sin pasar por disco duro en ningún instante. En esta imagen, se puede ver la arquitectura original de iBombShell.

Figura 9: Arquitectura de iBombShell

Todo ello, aprovechando las capacidades que, como os he dicho ofrece el mundo del Pentesting con Powershell, al que le dediqué un año de mi trabajo y que plasmé en este libro de 0xWord.

Figura 10: Pentesting con PowerShell

Hablando del modo Everywhere y del modo de trabajo se hizo una breve demo en la charla que contaba cómo se cargaba dinámicamente una consola de iBombShell en un Windows 10 y cómo se podía ir descargando diferentes funcionalidades en función de las necesidades.


Figura 11: iBombShell y UAC Bypass a Windows 10 con modo Everywhere
Después hablé del modo Silently y su nacimiento. Lo vimos claro, si tenemos una Shell de pentesting dinámica, ¿Por qué no convertirla en Warrior? ¿Por qué no verlo como un agente de post-explotación? ¿Una Powershell oculta? Así nació dicho módulo. De la mano de mi compañero Álvaro Nuñez-Romero empezamos a trabajar en el concepto del C2 escrito en el poderoso lenguaje de los pentesters: Python.

Figura 12: iBombShell en Python

El esquema de conexión en el modo Silently es realmente sencillo y utiliza peticiones HTTP para evitar mantener una conexión abierta. Esto es parecido al funcionamiento de Empire.

Figura 13: Funcionamiento de iBombShell en modo Warrior

Como últimas novedades sobre el proyecto quise recordar que disponemos de una rama Dev en el Github de iBombShell, donde se puede ver qué será lo próximo que estará en master. Por ejemplo, hablamos de AMSI y su bypass, entre otras cosas. Por último, hice una demo sobre esto y mostrar el potencial del modo Silently dentro de la fase de post-explotación.


Figura 14: PoC Cómo saltarse AMSI y desactivar Windows Defender
Para conocer los detalles concretos de todo el proyecto y cómo funciona cada uno de sus módulos, os dejo aquí incrustado el paper que publicamos en ElevenPaths sobre iBombShell para que lo conozcáis en mayor detalle.

Figura 15: iBombShell: Dynamic Remote Shell en ElevenPaths

Y para completar todo sobre iBombShell os dejo las referencias a los artículos que hemos publicado, con ejemplos de uso y ampliación:

- [GitHub] iBombShell
- [White Paper] iBombShell: Dynamic Remote Shell
- [Blog Post] Pentesting MacOS & Windows with iBombShell
- [Blog Post] iBombShell: Tu Shell de pentesting en MacOS con PowerShell
- [Blog Post] iBombShell: Creando una función para MacOS
- [Blog Post] iBombShell: Environment Injection in Windows 10
- [Blog Post] iBombShell: Crear módulo para extracción de claves SSH privadas
- [Blog Post] iBombShell: UAC Bypass con Mocking Trusted Directories
- [Blog Post] iBombShell: Nuevas funciones presentadas en BlackHat Europe 2018
- [Blog Post] iBombShell: Cómo saltarse AMSI y Windows Defender
- [Blog Post] iBombShell: Cómo hacer un popup phishing

Como veis, la charla fue un resumen breve de nuestro trabajo en BlackHat Europe 2017 y 2018 presentado y mostrado de forma práctica. Ya trabajamos en el futuro, en nuevas ideas, pero intentamos mantener vivos los proyectos que arrancamos. Ahora de la mano de Josué Encinar que nos ayuda en lo que puede en nuevas ideas y antiguos trabajos. Estamos orgullosos de lo que hacemos, de lo que presentamos e intentamos ayudar en lo que podamos.

- BlackHat Arsenal: Tools for Research & Pentesting [Parte 1 de 2] UAC-a-Mola
- BlackHat Arsenal: Tools for Research & Pentesting [Parte 2 de 2] iBombShell