Prueba de Concepto (POC)

CVE-2024-23443

hp_bios_osquery

Agregar la extensión osqery HP BIOS WMI a Elastic Agent

Dependencias

• pip install pywin32
• pip install osquery
• pip install pyinstaller

Compilación

pyinstaller --onefile hp_bios_enumeration.py

Instalación

1. Copie la extensión a la ubicación del agente de Elastic

   copy .\hp_bios_enumeration.exe "C:\Program Files\Elastic\Agent\data\elastic-agent-XXXXXX\components\"

2. Actualice el archivo auto_load de osquery de Elastic

   "C:\Program Files\Elastic\Agent\data\elastic-agent-XXXXXX\components\hp_bios_enumeration.exe" | Out-File "C:\Program Files\Elastic\Agent\data\elastic-agent-XXXXXX\run\osquery-default\osquery\osquery.autoload" -Append

3. Reinicie el agente

4. Confirme que la extensión está cargada

   osqueryi

   osquery> SELECT * FROM hp_bios_enum;

   name	possible_values	current_value
   System Management Command	Disable, Enable	Enable
   Fast Boot	Disable, Enable	Enable
   BIOS Rollback Policy	Unrestricted Rollback to older BIOS, Restricted Rollback to older BIOS	Unrestricted Rollback to older BIOS
   Audio Alerts During Boot	Disable, Enable	Enable