pwn1sher/wmeyeFileless Lateral Movement Tool, das WMI Event Filters und MSBuild-Ausführung verwendet, um Shellcode auf entfernten Windows-Systemen über LogFileEventConsumer bereitzustellen.
WMEye ist ein experimentelles Tool, das bei der Erkundung von Windows WMI entwickelt wurde. Das Tool wurde für die Durchführung von Lateral Movement mittels WMI und remote MSBuild-Ausführung entwickelt. Es lädt den kodierten/verschlüsselten Shellcode in die WMI-Klasseneigenschaft des entfernten Ziels hoch, erstellt einen Event-Filter, der beim Auslösen ein MSBuild-basiertes Payload mithilfe einer speziellen WMI-Klasse namens LogFileEventConsumer schreibt, und führt schließlich das Payload remote aus.
Dateiloses Lateral Movement mittels WMI, kann mit Cobalt Strike's Execute-Assembly verwendet werden
Hinweis: Dies befindet sich noch in der experimentellen Phase und ist noch lange nicht für einen echten Einsatz geeignet.
Win32_Process Create aufgerufen, um MSBuild remote zu startenDas MSBuild-Payload ruft den kodierten Shellcode aus der WMI-Klasseneigenschaft ab, decodiert und führt ihn aus.