TChopper

Nueva técnica que he descubierto recientemente y le he dado un apodo (Chop chop) para realizar movimiento lateral utilizando el nombre para mostrar de servicios de Windows y WMI, contrabandeando el binario malicioso como fragmentos base64 y automatizando el proceso con la herramienta TChopper.

image

Cómo funciona

• la herramienta obtendrá el archivo que deseas contrabandear y lo codificará como base64 en un flujo de memoria
• dividirá la longitud de cada línea para que tenga entre 150 y 250 caracteres (250 es el máximo permitido para el parámetro lpDisplayname del servicio https://docs.microsoft.com/en-us/windows/win32/api/winsvc/nf-winsvc-createservicea).
• en el ataque chop chop, creará un servicio único para cada fragmento segmentado => iniciará el servicio => luego lo eliminará para evitar duplicados, o puedes elegir solo modificar el modo de ataque del servicio para que sea más rápido y estable seleccionando la opción de modo de ataque (-m)
• más adelante, modificará el parámetro lpbinarypath del servicio con la línea de comandos necesaria para obtener el nombre para mostrar del servicio y canalizar los resultados a tmp_payload.txt
• finalmente, después de entregar todos los fragmentos del archivo como base64, la herramienta creará otro servicio para decodificar el contenido en un ejecutable válido y ejecutarlo

mientras que si estás realizando un movimiento lateral usando la técnica WMI, también puedes usar Chopper para hacerlo

• Tchopper autenticará tu sesión usando WMI
• creación de múltiples procesos y uso de un comando único de powershell para canalizar cada segmento a c:\users\public\chop.enc