Resumen

WnfExec es una librería de prueba de concepto en C# que inyecta shellcode en un proceso mediante el secuestro de un callback de suscripción WNF y luego desencadenando un cambio de estado. No hay nada novedoso aquí y fue construida basándose en la investigación de otros. Mi intención fue solidificar el concepto en mi cabeza, documentar el viaje y proporcionar mi código a lo largo del camino.

Sígueme en Twitter para más lanzamientos de herramientas pronto! @ustayready

Requisitos

• .NET Framework 4.5
• Shellcode x64
• Proceso x64 en el que inyectar

Uso

byte[] shellcode = new byte[] { .... };
var client = new WNF(shellcode);
client.InjectProcess("explorer");

Trabajo/Investigación Previa

Como mencioné en la charla de Beau Bullock (@dafthack) y mía en WWHF 2018, la mayor parte de mi investigación sobre WNF se debe a que me paré sobre hombros de gigantes que me precedieron. Si bien la lista no es exhaustiva, la siguiente investigación y trabajo previo me ayudaron a comprender los fundamentos necesarios para integrar este tipo de técnicas en los servicios de equipo rojo que ofrecemos en CrowdStrike.

Alex Ionescu y Gabrielle Viala

• Blackhat 2019: Windows Notification Facility: Peeling the Onion of the Most Undocumented Kernel Attack Surface Yet
• Playing with the Windows Notification Facility

Redplait Research

• WNF Notifiers
• WNF State IDs

Odzhan

• Odzhan's Process Injection

Amit Klein e Itzik Kotler

• Blackhat 2019: Process Injection Techniques - Gotta Catch Them All

Ejemplos de Código

• My Persisting .NET Payloads in WNF
• Odzhan's WNF Injection
• FuzzySec's WindfarmDynamite (ejemplo súper útil!)
• Alex/Gabby's WNFun
• Tyranid's P0 WNF Tooling