Comprometido por sólo copiar y pegar texto de una página maliciosa (obtención de una shell mediante pastejacking) : hackplayers

Hace algo más de un año, vimos un técnica llamada pastejacking que sobrescribía el portapapeles del usuario (normalmente después de control+c), de tal manera que cuando el usuario quería pegar el texto original (normalmente con control+v) éste ya había sido sustituido por contenido malicioso. En ese post vimos una simple prueba de concepto pero hoy ya os traemos un ejemplo más práctico y es que, con sólo copiar y pegar el texto de la web del atacante, éste podrá obtener una sesión inversa contra la máquina de la víctima.

La herramienta que nos va a facilitar este tipo de ataque es un script en Python bautizado como PasteZort y creado por ZettaHack. Lo único que necesitaremos para usarlo es descargar el software desde el repositorio de Github y darle permisos de ejecución.

# git clone https://github.com/ZettaHack/PasteZort.git
Cloning into 'PasteZort'...
remote: Counting objects: 13, done.
remote: Compressing objects: 100% (10/10), done.
remote: Total 13 (delta 1), reused 13 (delta 1), pack-reused 0
Unpacking objects: 100% (13/13), done.

# cd PasteZort/
root@server:/PasteZort# ls
encode.rb PasteZ0rt.py README.md
root@server:/PasteZort# chmod +x PasteZ0rt.py

root@server:/PasteZort# ./PasteZ0rt.py

Después seleccionaremos el sistema operativo objetivo, el payload para handler y el mensaje "gancho" que el usuario debe copiar y pegar para lanzar el exploit de forma desapercibida.

El script automáticamente levantará un Apache y un listener a la espera de la obtención de la shell.

En el momento que el usuario copie el texto y lo pegue en su consola...