Maldev Academy

Inicio de Maldev Academy

Temario de Maldev Academy

Christmas

Implementando un método de inyección mencionado por @Hexacorn.

Este PoC crea múltiples procesos, donde cada proceso realiza una tarea específica como parte de la operación de inyección. Cada proceso hijo creará otro proceso y pasará la información requerida a través de la línea de comandos. El programa sigue los pasos a continuación:

1. El primer proceso hijo crea el proceso objetivo donde se inyectará el payload. El manejador se hereda entre todos los procesos hijos siguientes.
2. El segundo proceso hijo asignará memoria en el proceso objetivo.
3. El tercer proceso hijo cambiará los permisos de la memoria previamente asignada a RWX.
4. Después, por cada 1024 bytes del payload, se creará un proceso para escribir esos bytes.
5. Por último, otro proceso será responsable de la ejecución del payload.

El PoC utiliza el algoritmo de cifrado RC4 para cifrar un payload Demon de Havoc. El programa, ChristmasPayloadEnc.exe, será responsable de cifrar el payload y rellenarlo para que sea un múltiplo de 1024 (como lo requiere la lógica de inyección).

Demo: Evadiendo MDE usando el payload Demon de Havoc