Maldev Academy

Maldev Academy Home

Maldev Academy Syllabus

Christmas

Implémentation d'une méthode d'injection mentionnée par @Hexacorn.

Ce PoC crée plusieurs processus, où chaque processus exécute une tâche spécifique dans le cadre de l'opération d'injection. Chaque processus enfant en génère un autre et transmet les informations requises via la ligne de commande. Le programme suit les étapes ci-dessous :

1. Le premier processus enfant crée le processus cible dans lequel le payload sera injecté. Le handle est hérité par tous les processus enfants suivants.
2. Le deuxième processus enfant allouera de la mémoire dans le processus cible.
3. Le troisième processus enfant modifiera les permissions de la mémoire précédemment allouée en RWX.
4. Ensuite, pour chaque bloc de 1024 octets du payload, un processus sera créé pour écrire ces octets.
5. Enfin, un autre processus sera chargé de l'exécution du payload.

Le PoC utilise l'algorithme de chiffrement RC4 pour chiffrer un payload Havoc Demon. Le programme, ChristmasPayloadEnc.exe, sera chargé de chiffrer le payload et d'ajouter un padding pour qu'il soit un multiple de 1024 (comme l'exige la logique d'injection).

Démo : Contournement de MDE avec le payload Havoc's Demon