Comprometido por sólo copiar y pegar texto de una página maliciosa (obtención de una shell mediante pastejacking)

Hace algo más de un año, vimos un técnica llamada pastejacking que sobrescribía el portapapeles del usuario (normalmente después de control+c), de tal manera que cuando el usuario quería pegar el texto original (normalmente con control+v) éste ya había sido sustituido por contenido malicioso. En ese post vimos una simple prueba de concepto pero hoy ya os traemos un ejemplo más práctico y es que, con sólo copiar y pegar el texto de la web del atacante, éste podrá obtener una sesión inversa contra la máquina de la víctima.

La herramienta que nos va a facilitar este tipo de ataque es un script en Python bautizado como PasteZort y creado por ZettaHack. Lo único que necesitaremos para usarlo es descargar el software desde el repositorio de Github y darle permisos de ejecución.

# git clone https://github.com/ZettaHack/PasteZort.git
Cloning into 'PasteZort'...
remote: Counting objects: 13, done.
remote: Compressing objects: 100% (10/10), done.
remote: Total 13 (delta 1), reused 13 (delta 1), pack-reused 0
Unpacking objects: 100% (13/13), done.

# cd PasteZort/
root@server:/PasteZort# ls
encode.rb PasteZ0rt.py README.md
root@server:/PasteZort# chmod +x PasteZ0rt.py

root@server:/PasteZort# ./PasteZ0rt.py

Después seleccionaremos el sistema operativo objetivo, el payload para handler y el mensaje "gancho" que el usuario debe copiar y pegar para lanzar el exploit de forma desapercibida.

El script automáticamente levantará un Apache y un listener a la espera de la obtención de la shell.

En el momento que el usuario copie el texto y lo pegue en su consola...