TChopper

Neue Technik, die ich kürzlich entdeckt habe und ihr den Spitznamen (Chop chop) gegeben habe, um laterale Bewegung unter Verwendung von Windows-Dienst-Anzeigenamen und WMI durchzuführen, indem das schädliche Binary als Base64-Chunks geschmuggelt wird, und den Prozess mit dem TChopper-Tool automatisieren.

image

Wie es funktioniert

• Das Tool holt die Datei, die Sie schmuggeln möchten, und kodiert die Datei als Base64 in einen Speicherstream.
• Teilt die Länge jeder Zeile so auf, dass sie 150-250 Zeichen lang ist (250 ist der maximal erlaubte Platz für den Parameter lpDisplayname des Dienstes https://docs.microsoft.com/en-us/windows/win32/api/winsvc/nf-winsvc-createservicea).
• Für den Chop-Chop-Angriff erstellt es einen eindeutigen Dienst für jedes segmentierte Chunk => startet den Dienst => löscht ihn dann, um Duplikate zu vermeiden, oder Sie können wählen, nur den Angriffsmodus des Dienstes zu ändern, um schneller und stabiler zu sein, indem Sie die Option Angriffsmodus (-m) wählen.
• Später wird es den Parameter lpbinarypath des Dienstes mit der erforderlichen Befehlszeile ändern, um den Dienst-Anzeigenamen abzugreifen und die Ergebnisse in tmp_payload.txt auszugeben.
• Schließlich, nachdem alle Chunks der Datei als Base64 geliefert wurden, erstellt das Tool einen weiteren Dienst, um den Inhalt in eine gültige ausführbare Datei zu dekodieren und auszuführen.

Während Sie laterale Bewegung mit der WMI-Technik durchführen, können Sie auch Chopper dafür verwenden.

• Tchopper authentifiziert Ihre Sitzung mit WMI.
• Erstellung mehrerer Prozesse und Verwendung eines einzigartigen PowerShell-Befehls, um jedes Segment nach c:\users\public\chop.enc auszugeben.