TChopper

Nueva técnica que he descubierto recientemente y le he dado un apodo (Chop chop) para realizar movimiento lateral utilizando el nombre para mostrar de servicios de Windows y WMI, contrabandeando el binario malicioso como fragmentos base64 y automatizando el proceso con la herramienta TChopper.

image

Cómo funciona

• la herramienta obtendrá el archivo que deseas contrabandear y lo codificará como base64 en un flujo de memoria
• dividirá la longitud de cada línea para que tenga entre 150 y 250 caracteres (250 es el máximo permitido para el parámetro lpDisplayname del servicio https://docs.microsoft.com/en-us/windows/win32/api/winsvc/nf-winsvc-createservicea).
• en el ataque chop chop, creará un servicio único para cada fragmento segmentado => iniciará el servicio => luego lo eliminará para evitar duplicados, o puedes elegir solo modificar el modo de ataque del servicio para que sea más rápido y estable seleccionando la opción de modo de ataque (-m)
• más adelante, modificará el parámetro lpbinarypath del servicio con la línea de comandos necesaria para obtener el nombre para mostrar del servicio y canalizar los resultados a tmp_payload.txt
• finalmente, después de entregar todos los fragmentos del archivo como base64, la herramienta creará otro servicio para decodificar el contenido en un ejecutable válido y ejecutarlo

mientras que si estás realizando un movimiento lateral usando la técnica WMI, también puedes usar Chopper para hacerlo

• Tchopper autenticará tu sesión usando WMI
• creación de múltiples procesos y uso de un comando único de powershell para canalizar cada segmento a c:\users\public\chop.enc
• crea un proceso final para usar certutil y decodificar el contenido en binario y ejecutarlo

image

Uso

#chop chop mode 
chopper.exe -s -u USERNAME -p PASSWORD -d DOMAIN -f BINARYLOCAL PATH 


# chop chop done 
chopper.exe -m -u USERNAME -p PASSWORD -d DOMAIN -f BINARYLOCAL PATH 

# use WMI to smuggle 
chopper.exe -w -u DOMAIN\USERNAME -p PASSWORD -t MACHINE -f LOCALBINARYPATH

https://youtu.be/xbvhzHul7w0

Investigación detallada

http://0xsp.com/security%20research%20&%20development%20(SRD)/smuggling-via-windows-services-display-name-lateral-movement

Mostrar apoyo

Creo herramientas de seguridad ofensiva para la comunidad de código abierto, muestra tu apoyo https://paypal.me/0xsp