Ekko

Une petite technique d'obfuscation du sommeil qui utilise l'API Win32 CreateTimerQueueTimer.
Preuve de concept. On peut faire mieux.

Remarque

Cette implémentation présente des défauts connus.
Je ne recommande donc pas de l'utiliser sans savoir comment elle fonctionne, ni comment repérer et corriger ces défauts.
TLDR : ne le copiez-collez pas dans vos implants.

Crédits

• Austin Hudson (@SecIdiot) https://suspicious.actor/2022/05/05/mdsec-nighthawk-study.html
• Découvert à l'origine par Peter Winter-Smith et utilisé dans le Nighthawk de MDSec.