SharpPolarBear

Dies ist eine weaponisierte Version eines der Exploits, die von SandboxEscaper hier veröffentlicht wurden (https://github.com/SandboxEscaper/polarbearrepo).

Der Großteil des Codes stammt aus dem CollectorService-Repository von rasta-mouse (https://github.com/rasta-mouse/CollectorService). Ich habe lediglich den CVE-2019-0841-Code aus dem ursprünglichen SandboxEscaper C++-Code in C# geändert und einige Prüfungen hinzugefügt.

Ich habe auch die erforderlichen Binärdateien (schtasks.exe, schedsvc.dll + eine exportierte Windows XP Job-Datei) hinzugefügt, die während der Laufzeit entpackt und danach gelöscht werden. Sie benötigen also nur eine Binärdatei hier.

Windows Defender scheint eine heuristische Erkennung für Anwendungen zu haben, die einen Hardlink von C:\windows\system32\tasks zu einer Datei in C:\windows\system32\ erstellen. Daher wird diese ausführbare Datei mit Defender höchstwahrscheinlich blockiert/erkannt.

Sie müssen die ausführbare Datei zweimal ausführen, um eine System-Shell zu erhalten.

Legal disclaimer:

Die Verwendung von SharpPolarBear zum Angriff auf Ziele ohne vorherige gegenseitige Zustimmung ist illegal. Es liegt in der Verantwortung des Endbenutzers, alle geltenden lokalen, staatlichen und bundesstaatlichen Gesetze einzuhalten. Die Entwickler übernehmen keine Haftung und sind nicht verantwortlich für Missbrauch oder Schäden, die durch dieses Programm verursacht werden. Nur für Bildungs- / Pentestzwecke verwenden.