RAT de JavaScript

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta


El framework beef-xss se usa generalmente como una plataforma phishing/ingeniería social/drive by download/xss/csrf (etc.). Este crea un archivo hook.js que puede agregarse manualmente a páginas web o inyectarse en sesiones web en la red usando cosas como MITMf.

Cuando se utiliza de esta manera, el hook tiene la misma política de origen de dominio que cualquier sitio web que lo aloje actualmente, sin embargo, para la mayoría de las cosas, esto está bien. Si podemos convencer a alguien de que descargue físicamente un archivo de página web .html/.hta/.chm/.mht/etc., entonces podés hacer algunas cosas ,,poderosas" (la parte irónica es que el propio beef-xss puede usarse para iniciar el archivo descargandolo automáticamente desde un sitio web remoto a tu computadora directamente, creando 2 sesiones. La primera con la misma política de origen de tu página de BEEF de Internet o sitio web hackeado que contiene el hook.js XSS, etc. La segunda sesión será la página .HTML descargada de tu beef/sitio web en sus  computadoras, con la misma política de origen de sus dispositivos). En las capturas de pantalla a continuación, pueden ver que descargué físicamente una página web hookeada de beef y este archivo .html se encuentra:
(No tienes permitido ver enlaces. Registrate o Entra a tu cuenta)

En mi computadora tengo una imagen de van gogh ubicada en la siguiente ruta de URL LOCAL: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Beef-xss tiene varios comandos de redirección disponibles. El que me gusta usar es la redirección IFRAME. Ingresando la ruta del archivo local anterior como URL y ejecutando la redirección iframe, este es el resultado:


Tengo un archivo de PowerShell ubicado en esta ruta: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta. Cuando lo redirecciono con iframe, podemos leerlo


Podemos realizar una cantidad infinita de redirecciones y aún mantener vivo el hook, por lo que podemos encontrar y cargar archivos desde sus dispositivos aunque esos archivos no estén actualmente en línea. Lo que tenemos es un mecanismo de exfiltración de archivos extremadamente sigiloso y de huella extremadamente baja, donde uno podría obtener fácilmente cosas como billeteras de criptomonedas locales, archivos SAM, (etc.) desde un dispositivo remoto. Si agregas tu propio manual de JavaScript, es posible crear un .HTML que sea capaz de ejecutar comandos cmd arbitrarios. Esto puede funcionar junto con la página beef-xss .js, lo que te brinda un control total (podés descargar, subir, leer/escribir/eliminar y ejecutar).

También es posible iniciar furtivamente un iframe oculto para metasploitear el módulo de autopwn, lo que te brinda una sesión de meterpreter instantánea.

Es mejor usar .HTA, porque pueden ejecutarse de manera oculta, sin formulario, sin barra de tareas, sin ventana, (etc.). Si usas .html, usa multiframes con un tamaño de ancho/alto bajo (como 5x5 píxeles) para que no puedan ver lo que estás viendo y usa la función GET PAGE HTML para poder ver y recuperar los archivos/datos dentro de él.

Esta técnica funciona en Windows/linux/mac e incluso en celulares, pero es más fácil en Windows porque un archivo .hta puede ocultarse completamente ejecutándose en segundo plano, y en linux y celulares hay que recurrir a .html.

Fuente H-F

Ahh si, aunque este tema creo que ya lo he visto aquí: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

El autor original lo público allí unos meses antes de que fuera publicado en HF. Supongo que son las mismas personas.

Por cierto, No tienes permitido ver enlaces. Registrate o Entra a tu cuenta es una página buenísima. Si usan el traductor de Google podrán ver que trae tutoriales de oro.

men pero no entendi eso de

CitarSi agregas tu propio manual de JavaScript, es posible crear un .HTML que sea capaz de ejecutar comandos cmd arbitrarios.

los navegadores no podrian ejecutar cmd desde html o quisas no entendi, pero si va lo del metasploit, un abrazo y saludos.

que significa fuente HF?