MiniPlasma-Runner

Versión modificada de Nightmare-Eclipse/MiniPlasma (CVE-2020-17103) adaptada para uso de C2.

El PoC original se ejecuta solo desde disco. Esta versión se ejecuta completamente desde memoria mediante execute-assembly, con un enfoque de binario dividido para evitar la detección.

Descargo de responsabilidad

Esta herramienta se proporciona únicamente con fines de pruebas de seguridad autorizadas y educativas. El uso de esta herramienta contra sistemas sin permiso explícito por escrito es ilegal y poco ético. El autor no asume ninguna responsabilidad por el mal uso o daño causado por esta herramienta. Siempre obtenga la autorización adecuada antes de realizar cualquier prueba de seguridad.

Qué cambió

• Reestructuradas las etapas multiproceso en ejecución en un solo proceso con hilos (sin más auto-reinicio mediante Assembly.Location)
• Eliminadas las llamadas a Environment.Exit() que mataban el proceso anfitrión
• Dividido en dos binarios: exploit principal (se ejecuta en memoria) + MiniRunner (pequeño callback de SYSTEM que se deja en disco brevemente)
• MiniRunner está incrustado como recurso de .NET y se extrae en tiempo de ejecución
• Pipe con nombre único por ejecución (sin más colisiones de pipe en ejecuciones repetidas)
• Configuración pasada a través de C:\ProgramData (accesible tanto para contexto de usuario como de SYSTEM)
• Ruta de payload personalizada mediante argumento de línea de comandos
• Reorientado a .NET Framework 4.8
• Eliminado el requisito de firma de manifiesto
• Estructura del proyecto aplanada

Compilación

csc /platform:x64 /optimize /out:runner.bin MiniRunner.cs
msbuild MiniPlasma.sln /p:Configuration=Release

NOTA: runner.bin debe compilarse primero - se incrusta en el exe principal durante la compilación.

Uso

execute-assembly MiniPlasma-Runner.exe C:\Path\To\payload.exe

Sin argumentos, por defecto usa conhost.exe.

Requisitos

• El objetivo debe tener el controlador de filtro de Cloud Files disponible (sc start cldflt si no está en ejecución)
• Contexto de usuario estándar (esto es una escalada de privilegios local)
• .NET Framework 4.8 en el objetivo

Huella en disco

Solo MiniRunner toca el disco (~5KB) como wermgr.exe dentro de un directorio temporal bajo C:\ProgramData. Se limpia automáticamente tras la ejecución. El exploit principal nunca toca el disco.

Créditos

• Nightmare-Eclipse - PoC original de MiniPlasma
• CVE-2020-17103 - Escritura arbitraria de clave de registro por aborto de hidratación de Cloud Files