JSRAT - backdoor en JavaScript

En este artículo voy a hablar de la creación de un backdoor mediante la herramienta desarrollada en python llamada JSRAT. El proceso de actuación es el siguiente: la víctima se conectará a un servidor maligno mediante el protocolo HTTP. Una vez conectado al servidor, la víctima tendrá que ejecutar el código generado en el intérprete de comandos de windows.

Para esta prueba de concepto he utilizado dos máquinas virtuales:

• Máquina atacante: Kali Linux con la ip 10.0.2.6
• Máquina víctima: Windows server 2012 con la ip 10.0.2.5

La herramienta se puede descargar desde el repositorio GitHub de JSRAT

Una vez descargada la aplicación, en la máquina atacante se procede a iniciarla mediante la introducción del host atacante y el puerto HTTP al que se conectará la víctima.

Parámetros de la aplicación JSRat

Ejecución de JSRat

De este modo la máquina atacante estará a la espera del acceso de posibles víctimas. Mientras tanto, en el windows server se accede a la url del servidor maligno y se ejecuta el código en la consola.

Conexión de la víctima con el servidor mediante HTTP

Ejecución del código generado mediante el acceso al servidor maligno

A priori parece que no se ha ejecutado nada raro, sin embargo, la comunicación ya ha empezado entre la máquina atacante y la víctima con la creación de un socket inverso. En la máquina atacante se puede ver las posibilidades que ofrece esta shell inversa.

Shell inversa en JSRat

Después de haber ejecutado los comandos de la calculadora y el bloc de notas, en la máquina víctima se verán los resultados.

Programas ejecutas en remoto

Aunque en estos ejemplos solo se hayan visto la ejecución de dos programas inofensivos, las opciones que deja esta shell son interminables. Para empezar se me ocurre realizar la descarga de un fichero malicioso que realice funciones complementarias a JSRat o subir archivos confidenciales de la víctima a la red. El cómo utilizarla, depende de ti.