WMEye

WMEye es una herramienta experimental que se desarrolló al explorar sobre Windows WMI. La herramienta está desarrollada para realizar Movimiento Lateral usando WMI y ejecución remota de MSBuild. Sube el shellcode codificado/cifrado a la Propiedad de Clase WMI de los objetivos remotos, crea un filtro de eventos que cuando se activa escribe una carga útil basada en MSBuild usando una clase WMI especial llamada LogFileEventConsumer y finalmente ejecuta la carga útil de forma remota.

Caso de uso

Movimiento Lateral sin archivos usando WMI, puede usarse con Execute-Assembly de Cobalt Strike

Nota: Esto todavía está en etapa experimental y está lejos de poder usarse en un compromiso real.

Vista previa

Funcionamiento actual

• Crea una Clase WMI remota
• Escribe el shellcode como valor de propiedad en la Clase WMI falsa creada anteriormente
• Crea un Filtro de Eventos WMI que se activa al crear el proceso powershell.exe
• Al activarse el evento, sube la carga útil de MSBuild al sistema remoto usando LogFileEventConsumer (un tipo de Consumidor WMI para escribir archivos de registro)
• Finalmente invoca Win32_Process Create para llamar a MSBuild de forma remota

La carga útil de MSBuild obtiene el shellcode codificado de la Propiedad de Clase WMI, lo decodifica y lo ejecuta.