{"id":15574,"date":"2019-08-29T17:15:54","date_gmt":"2019-08-29T16:15:54","guid":{"rendered":"https:\/\/www.riskinsight-wavestone.com\/?p=15574"},"modified":"2021-06-17T08:25:49","modified_gmt":"2021-06-17T07:25:49","slug":"beemka-electron-post-exploitation-when-the-land-is-dry","status":"publish","type":"post","link":"https:\/\/www.riskinsight-wavestone.com\/en\/2019\/08\/beemka-electron-post-exploitation-when-the-land-is-dry\/","title":{"rendered":"BEEMKA – Electron Post-Exploitation When The Land Is Dry"},"content":{"rendered":"

<\/a><\/p>\n

\n
Lors de les BSides Las Vegas 2019, Pavel \u00ab @ sadreck \u00bb Tsakalidis a pr\u00e9sent\u00e9 un nouveau framework de post-exploitation qui repose sur l\u2019utilisation d\u2019Electron par des \u00ab applications desktop \u00bb. Sa pr\u00e9sentation d\u00e9montre que l\u2019utilisation massive d\u2019Electron ces derni\u00e8res ann\u00e9es peut \u00eatre utilis\u00e9e pour injecter du code malveillant dans des applications l\u00e9gitimes.<\/div>\n
Le projet peut \u00eatre retrouv\u00e9 sur le d\u00e9p\u00f4t GitHub suivant :\u00a0https:\/\/github.com\/ctxis\/beemka<\/a>.<\/div>\n<\/div>\n
<\/div>\n

Introduction<\/h3>\n
Electron est un framework permettant de d\u00e9velopper des applications multiplateformes avec des technologies web (Javascript, HTLM et CSS).<\/div>\n
Son fonctionnement est assez simple, Electron utilise \u00ab node.js \u00bb en backend et \u00ab Chromium \u00bb en frontend :<\/div>\n
<\/div>\n
\n
\"\"<\/figure>\n
Components of Electron\u00a0<\/i><\/span><\/div>\n
https:\/\/www.wildnettechnologies.com\/build-cross-platform-desktop-apps-with-electron\/<\/a><\/i><\/span><\/div>\n
<\/div>\n<\/div>\n
<\/div>\n
Electron a notamment permis de d\u00e9velopper des applications aujourd\u2019hui incontournables en entreprise :<\/div>\n
<\/div>\n
<\/a><\/div>\n
<\/div>\n
Applications Electron<\/span><\/i><\/div>\n
<\/div>\n

Principe de l\u2019attaque<\/h3>\n
Les applications Slack, GitHub ou encore Microsoft Teams utilisent le dossier \u00ab App Data \u00bb lors de l\u2019installation. Il est donc possible pour l\u2019utilisateur d\u2019acc\u00e9der en \u00e9criture au r\u00e9pertoire d\u2019installation.<\/div>\n
Toutes les applications Electron poss\u00e8dent un dossier “resources” dans leur r\u00e9pertoire d’installation :<\/div>\n
<\/div>\n
<\/div>\n
<\/div>\n
Illustration avec GitHubDesktop<\/span><\/i><\/div>\n
\u00a0<\/i><\/div>\n
Ce dossier contient g\u00e9n\u00e9ralement :<\/div>\n
    \n
  • Le dossier \u00ab app \u00bb qui contient l\u2019application ;<\/li>\n
  • Le fichier \u00ab electron.asar \u00bb qui pr\u00e9pare l\u2019environnement Chronium au lancement de l\u2019application.<\/li>\n<\/ul>\n
    <\/div>\n
    Le fichier \u00ab electron.asar \u00bb peut \u00eatre consid\u00e9r\u00e9 comme une archive qui contient des scripts \u00ab *.js \u00bb :<\/div>\n
    \"\"<\/div>\n
    <\/div>\n
    <\/div>\n
    <\/div>\n
    Conteneur \u00ab electron.asar \u00bb<\/span><\/i><\/div>\n
    <\/div>\n
    Le fichier \u00ab chrome-extension.js \u00bb permet la gestion de l\u2019environnement Chronium :<\/div>\n
    \"\"<\/figure>\n

     <\/p>\n

    <\/div>\n
    Pavel propose ainsi d\u2019injecter directement dans ce fichier du code javascript, permettant de lancer une action malveillante lors d\u2019un \u00e9v\u00e8nement sp\u00e9cifique :<\/div>\n

    app<\/span>.on(‘browser-window-focus<\/span>‘, function (event, bWindow) { bWindow<\/span>.webContents.executeJavaScript<\/span>(“alert(Hello Github !!’);<\/span>“) }) <\/span><\/p>\n

     <\/p>\n

    Lors de l\u2019ouverture de l\u2019application (apr\u00e8s avoir pack\u00e9 le fichier \u00ab electron.asar \u00bb et red\u00e9pos\u00e9 dans le r\u00e9pertoire \u00ab resource \u00bb), un pop-up (XSS style) va s\u2019ouvrir dans l\u2019application GitHub Desktop :<\/div>\n
    <\/div>\n
    <\/div>\n
    <\/div>\n
    Illustration avec GitHub Desktop<\/span><\/i><\/div>\n
    <\/div>\n
    Le code est donc correctement ex\u00e9cut\u00e9.<\/div>\n
    <\/div>\n

    D\u00e9monstration<\/h3>\n
    La vid\u00e9o suivante pr\u00e9sente une d\u00e9monstration du module \u00ab rshell_cmd \u00bb dans GitHub Desktop, permettant d\u2019ouvrir un reverse shell vers notre listener :<\/div>\n