HackTool.Win64.Chisel.D.go

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ワーム活動の機能を備えていません。

プログラムは、バックドア活動の機能を備えていません。

プログラムは、情報収集する機能を備えていません。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

プログラムは、ワーム活動の機能を備えていません。

バックドア活動

プログラムは、バックドア活動の機能を備えていません。

ルートキット機能

プログラムは、ルートキット機能を備えていません。

情報漏えい

プログラムは、以下のパラメータを受け取ります。

• server → runs chisel in server mode
• client → runs chisel in client mode

プログラムは、情報収集する機能を備えていません。

その他

プログラムは、以下を実行します。

• It accepts input in the following format:
  • For "server" → chisel server {optional parameters}
  • For "client" → chisel client {optional parameters} {server} {remote addresses}
• Accepts the following optional parameters if "server" is the command:
  • --host, Defines the HTTP listening host – the network interface (defaults the environment variable HOST and falls back to 0.0.0.0).
  • --port, -p, Defines the HTTP listening port (defaults to the environment variable PORT and fallsback to port 8080).
  • --key, An optional string to seed the generation of a ECDSA public and private key pair. All communications will be secured using this key pair. Share the subsequent fingerprint with clients to enable detection of man-in-the-middle attacks (defaults to the CHISEL_KEY environment variable, otherwise a new key is generate each run).
  • --authfile, An optional path to a users.json file. This file should be an object with users defined like: {"": ["",""]} when connects, their will be verified and then each of the remote addresses will be compared against the list of address regular expressions for a match. Addresses will always come in the form ":" for normal remotes and "R::" for reverse port forwarding remotes. This file will be automatically reloaded on change.
  • --auth, An optional string representing a single user with full access, in the form of {user:pass}. This is equivalent to creating an authfile with {"": [""]}.
  • --proxy, Specifies another HTTP server to proxy requests to when chisel receives a normal HTTP request. Useful for hiding chisel in plain sight.
  • --socks5, Allow clients to access the internal SOCKS5 proxy. See chisel client --help for more information.
  • --reverse, Allow clients to specify reverse port forwarding remotes in addition to normal remotes.
  • --pid Generate pid file in current working directory
  • -v, Enable verbose logging
  • --help, This help text
• Accepts the following optional parameters if "client" is the command:
  • --fingerprint, A *strongly recommended* fingerprint string to perform host-key validation against the server's public key. You may provide just a prefix of the key or the entire string. Fingerprint mismatches will close the connection.
  • --auth, An optional username and password (client authentication) in the form: ":". These credentials are compared to the credentials inside the server's --authfile. defaults to the AUTH environment variable.
  • --keepalive, An optional keepalive interval. Since the underlying transport is HTTP, in many instances we'll be traversing through proxies, often these proxies will close idle connections. You must specify a time with a unit, for example '30s' or '2m'. Defaults to '0s' (disabled).
  • --max-retry-count, Maximum number of times to retry before exiting. Defaults to unlimited.
  • --max-retry-interval, Maximum wait time before retrying after a disconnection. Defaults to 5 minutes.
  • --proxy, An optional HTTP CONNECT or SOCKS5 proxy which will be used to reach the chisel server. Authentication can be specified inside the URL.
  • --header, Set a custom header in the form "HeaderName: HeaderContent". Can be used multiple times. (e.g --header "Foo: Bar" --header "Hello: World")
  • --hostname, Optionally set the 'Host' header (defaults to the host found in the server url).
  • --pid Generate pid file in current working directory
  • -v, Enable verbose logging
  • --help, This help text
• It can be used to bypass through a firewall.

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
情報漏えい

プログラムは、以下のパラメータを受け取ります。

• server → サーバモードでChiselを起動します。
• client → クライアントモードでChiselを起動します。

その他

プログラムは、以下を実行します。

• 以下の形式の入力を受け取ります。
  • 「server」に対して → chisel server {オプションパラメータ}
  • 「client」に対して → chisel client {オプションパラメータ} {サーバ} {リモートIPアドレス}
• コマンドが「server」の場合、以下のオプションパラメータを受け入れます。
  • --host, HTTPのリスニングアドレス（ホストのネットワークインターフェイス）を定義します（デフォルト設定ではHOST環境変数を使用し、フォールバックとしては0.0.0.0を使用します）。
  • --port, -p, HTTPのリスニングポートを定義します（デフォルト設定ではPORT環境変数を使用し、フォールバックとしてはポート番号8080を使用します）。
  • --key, ECDSAでキーペア（公開鍵と秘密鍵）を生成する際にシード値となるオプションの文字列。生成されたキーペアを用いることで、すべての通信の安全性が高まります。後に生成されるフィンガープリントをクライアントと共有することで、中間者（man-in-the-middle）攻撃の検出が可能となります。（デフォルトではCHISEL_KEY環境変数が使用されます。値が設定されていない場合は、実行毎に新しいキーが生成されます）。
  • --authfile, users.jsonファイルへのオプションのパス。このファイルは次の形式でユーザが定義したオブジェクトである必要があります（{"": ["",""]}）。接続時に検証を行った後、各リモートIPアドレスをアドレス正規表現リストと照合し、一致するかどうかを確認します。通常のリモートIPアドレスに対しては「:」、リバースポートフォワーディングの対象リモートIPアドレスに対しては「R::」の形式で指定されます。このファイルは変更時に自動的に再読み込みされます。
  • --auth, {ユーザ:パスワード}の形式を用いてフルアクセス権を持つ単一ユーザを表すオプションの文字列。{"": [""]}で定義されたauthfileを作成することと同等です。
  • --proxy, chiselが通常のHTTPリクエストを受信した際に、リクエストを転送するための別のHTTPサーバを指定します。chiselを目立たせず、隠すために用いられます。
  • --socks5, クライアントが内部のSOCKS5プロキシにアクセスできるようにします。詳細はchisel（クライアント）のパラメータ「--help」をご参照ください。
  • --reverse, クライアントが通常のリモートIPアドレスのほかに、リバースポートフォワーディングの対象リモートIPアドレスを指定できるようにします。
  • --pid 現在の作業ディレクトリ内にPIDファイルを生成します。
  • -v, 詳細なログ記録を有効化します。
  • --help, ヘルプテキストを表示します。
• コマンドが「client」の場合、以下のオプションパラメータを受け入れます。
  • --fingerprint, サーバの公開鍵に対してホストキー検証を行うための*強く推奨される*フィンガープリント文字列（鍵全体の文字列、またはプレフィックス（先頭部分）のみの指定も可能）。フィンガープリントが一致しない場合、接続は切断される。
  • --auth, ":"の形式で指定されるオプションのユーザ名とパスワード（クライアント認証）。これらの認証情報は、サーバ側のオプションパラメータ「--authfile」に含まれる認証情報と比較されます（デフォルト設定：AUTH環境変数が用いられる）。
  • --keepalive, オプションのキープアライブ間隔。基盤となるトランスポートはHTTPであるため、多くの通信はプロキシを通過しますが、これらのプロキシはアイドル状態の接続を閉じることがしばしばあります。このため「30秒」や「2分」などの単位で時間を指定する必要があります。（デフォルト設定：「0秒」（無効））。
  • --max-retry-count, 自身の活動を終了する前に再試行する最大回数（デフォルト設定：無制限）。
  • --max-retry-interval, 切断後に再試行するまでの最大待機時間（デフォルト設定：5分）
  • --proxy, オプションのHTTP CONNECTまたはSOCKS5プロキシ。Chiselサーバへの接続に用いられる。認証情報はURL内に指定可能です。
  • --header, 「HeaderName: HeaderContent」という形式でカスタムヘッダを設定します。（右記のように複数回使用可能）（例： --header "Foo: Bar" --header "Hello: World"）
  • --hostname, オプションで「Host」ヘッダを設定します。（デフォルトでは、サーバURL内のホストが用いられる）
  • --pid, 現在の作業ディレクトリ内にPIDファイルを生成します。
  • -v, 詳細なログ記録を有効化します。
  • --help, ヘルプテキストを表示します。
• このプログラムは、ファイアウォールをすり抜けるために用いられる可能性があります。