Maldev Academy

Maldev Academy Home

Maldev Academy Syllabus

Christmas

Implementierung einer Injektionsmethode, die von @Hexacorn erwähnt wurde.

Dieser PoC erstellt mehrere Prozesse, wobei jeder Prozess eine bestimmte Aufgabe im Rahmen der Injektionsoperation ausführt. Jeder untergeordnete Prozess erzeugt einen weiteren Prozess und übergibt die erforderlichen Informationen über die Befehlszeile. Das Programm führt die folgenden Schritte aus:

1. Der erste untergeordnete Prozess erstellt den Zielprozess, in den der Payload injiziert wird. Das Handle wird an alle nachfolgenden untergeordneten Prozesse vererbt.
2. Der zweite untergeordnete Prozess weist Speicher im Zielprozess zu.
3. Der dritte untergeordnete Prozess ändert die Berechtigungen des zuvor zugewiesenen Speichers in RWX.
4. Anschließend wird für jeweils 1024 Bytes des Payloads ein Prozess erstellt, der diese Bytes schreibt.
5. Schließlich ist ein weiterer Prozess für die Ausführung des Payloads verantwortlich.

Der PoC verwendet den RC4-Verschlüsselungsalgorithmus, um einen Havoc-Demon-Payload zu verschlüsseln. Das Programm ChristmasPayloadEnc.exe ist für die Verschlüsselung des Payloads und das Auffüllen auf ein Vielfaches von 1024 verantwortlich (wie von der Injektionslogik gefordert).

Demo: Umgehung von MDE mithilfe des Demon-Payloads von Havoc