MiniPlasma-Runner

Version modifiée de Nightmare-Eclipse/MiniPlasma (CVE-2020-17103) adaptée pour une utilisation C2.

Le PoC original s'exécute uniquement depuis le disque. Cette version s'exécute entièrement depuis la mémoire via execute-assembly, avec une approche de binaire fractionné pour éviter la détection.

Disclaimer

Cet outil est fourni uniquement pour des tests de sécurité autorisés et à des fins éducatives. L'utilisation de cet outil contre des systèmes sans autorisation écrite explicite est illégale et contraire à l'éthique. L'auteur décline toute responsabilité en cas d'utilisation abusive ou de dommages causés par cet outil. Obtenez toujours une autorisation appropriée avant d'effectuer des tests de sécurité.

Ce qui a changé

• Refactorisation des étapes multi-processus en exécution threadée mono-processus (plus de relancement automatique via Assembly.Location)
• Suppression des appels Environment.Exit() qui tuent le processus hôte
• Divisé en deux binaires : exploit principal (s'exécute en mémoire) + MiniRunner (petit rappel SYSTEM déposé brièvement sur le disque)
• MiniRunner est intégré comme ressource .NET et extrait à l'exécution
• Tube nommé unique par exécution (plus de collisions de tube lors d'exécutions répétées)
• Configuration passée via C:\ProgramData (accessible à la fois par les contextes utilisateur et SYSTEM)
• Chemin de charge utile personnalisé via argument de ligne de commande
• Reciblé vers .NET Framework 4.8
• Suppression de l'exigence de signature du manifeste
• Structure de projet aplanie

Build

csc /platform:x64 /optimize /out:runner.bin MiniRunner.cs
msbuild MiniPlasma.sln /p:Configuration=Release

NOTE : runner.bin doit être compilé en premier - il est intégré dans l'exe principal lors de la compilation.

Utilisation

execute-assembly MiniPlasma-Runner.exe C:\Path\To\payload.exe

Sans arguments, il utilise par défaut conhost.exe.

Prérequis

• La cible doit disposer du pilote de filtrage Cloud Files (sc start cldflt s'il n'est pas en cours d'exécution)
• Contexte utilisateur standard (il s'agit d'une élévation de privilèges locale)
• .NET Framework 4.8 sur la cible

Empreinte disque

Seul MiniRunner touche au disque (~5KB) sous le nom wermgr.exe dans un répertoire temporaire sous C:\ProgramData. Nettoyé automatiquement après l'exécution. L'exploit principal ne touche jamais au disque.

Crédits

• Nightmare-Eclipse - PoC original de MiniPlasma
• CVE-2020-17103 - Écriture arbitraire de clé de registre via l'abandon de l'hydratation de Cloud Files