je5442804/wptaskscheduler_cve-2024-49039WPTaskScheduler Persistencia RPC y CVE-2024-49039 mediante el Programador de tareas
WPTaskScheduler.dll es un componente del Programador de tareas desde Windows 10 1507.
Probablemente se trata de una herramienta de puerta trasera utilizada para la persistencia, que fue analizada por investigadores de seguridad,
quienes descubrieron que puede omitir el sandbox de tokens restringidos, las restricciones de procesos secundarios y elevar a integridad media.
1: Establecer conexión RPC, pero los tokens restringidos, como el proceso renderizador de Google Chrome, parecen no poder establecer una conexión RPC,
¿así que podría ser inútil? Bueno, audio.mojom.AudioService y gpu-process lo omiten con éxito......
2: Parece que AppContainers no pueden escapar, pero es difícil afirmar que este no sea el único punto de ataque.
¿Falla en (BasepCreateLowBox->NtCreateLowBoxToken) antes de reiniciar, y crea el proceso con éxito como AppContainers después de reiniciar?
WPTaskScheduler.dll!TsiRefisterRPCInterface ajusta la seguridad de la interfaz RPC, que ya no puede ser accedida por Everyone.
Ahora se requiere al menos integridad media (y otras cuentas de servicio...)
Visual Studio 2022 -> Release x64
Tanto la persistencia como un poc para probar.
Sugiero descargar WpTasks.exe desde https://www.tenforums.com/general-support/157178-hidden-task-revealer.html......
1: Compile como exe, use SystemInformer, TokenUniverse, sandbox-attacksurface-analysis-tools
u otras herramientas para experimentar.
2: Compile como dll, use Reflective DLL Injection o MemoryModule para experimentar en escenarios reales,
(Chrome Low Integrity-> gpu-process, audio.mojom.AudioService)
por cierto, ¿qué sucede si hay "donut shellcode" en Untrust Sandbox Process...
Windows 11 23H2 (10.0.22631.4317) x64
Windows Server 2016 (10.0.14393.5786) x64
Windows 10 2019 LTSC (10.0.17763.316) x86
1: https://www.tenforums.com/general-support/157178-hidden-task-revealer.html
2: https://www.tenforums.com/general-support/157178-hidden-task-revealer-6.html
3: https://cyber.wtf/2022/06/01/windows-registry-analysis-todays-episode-tasks/
4: https://github.com/gtworek/PSBits/tree/master/WNF
5: https://googleprojectzero.blogspot.com/2015/05/in-console-able.html
