optiv/dentUn framework pour créer des contournements basés sur COM en exploitant des vulnérabilités dans les capteurs WDAPT de Microsoft.
Pour voir la dernière version de Dent ou soumettre un problème, consultez https://github.com/Tylous/Dent.
Dent
Si vous souhaitez en savoir plus sur les techniques utilisées dans ce framework, veuillez consulter cet article.
Ce framework génère du code pour exploiter des vulnérabilités dans les règles de réduction de la surface d'attaque (ASR) de Microsoft Defender Advanced Threat Protection afin d'exécuter du shellcode sans être détecté ou empêché. L'ASR a été conçu pour être la première ligne de défense, détectant les événements basés sur des actions qui violent un ensemble de règles. Ces règles se concentrent sur des indicateurs de comportement spécifiques sur le terminal, souvent associés aux tactiques, techniques ou procédures (TTP) d'un attaquant. Elles accordent une grande importance à la suite Microsoft Office, car il s'agit d'un vecteur d'attaque courant pour établir un pied-à-terre distant sur un terminal. Une grande partie des contrôles basés sur les règles se concentrent sur les indicateurs de comportement réseau ou processus qui se démarquent des opérations commerciales normales. Ces règles ciblent soit la compromission initiale d'un système, soit une technique pouvant gravement impacter une organisation (par exemple, divulgation d'identifiants ou ransomware). Elles couvrent une grande partie de la surface d'attaque courante et visent à entraver les techniques connues utilisées pour compromettre des actifs.
Dent tire parti de plusieurs vulnérabilités pour contourner ces contrôles restrictifs et exécuter des charges utiles sur un terminal sans être bloqué ou efficacement détecté par les capteurs de Microsoft Defender Advanced Threat Protection. L'article ci-dessus décrit ces vulnérabilités qui sont TOUJOURS présentes dans Microsoft Defender Advanced Threat Protection même après la divulgation.
La première étape, comme toujours, est de cloner le dépôt, puis de le construire
go build Dent.go
./Dent -h
________ __
\______ \ ____ _____/ |_
| | \_/ __ \ / \ __\
| | \ ___/| | \ |
/_______ /\___ >___| /__|
\/ \/ \/
(@Tyl0us)
"Appelez quelqu'un un héros assez longtemps, et il le croira. Il le deviendra.
Ils n'ont pas le choix. Laissez-les vous appeler un monstre, et vous devenez un monstre."
Utilisation de ./Dent :
-C string
Nom de l'objet COM.
-N string
Nom de la charge utile XLL lorsqu'elle est écrite sur le disque.
-O string
Nom du fichier de sortie. (par défaut "output.txt")
-P string
Chemin de la DLL pour votre objet COM. (Utilisez \\ ou des guillemets autour du chemin)
-U string
URL où la charge utile XLL encodée en base64 est hébergée.
-show
Afficher le script dans le terminal.
Ce framework est destiné à exploiter les vulnérabilités et les déficiences de Microsoft Defender Advanced Threat Protection, donc il ne génère pas réellement de charges utiles/implants. Pour les générer, vous pouvez utiliser un grand nombre d'outils disponibles publiquement, cependant toutes les recherches, le développement et les tests ont été effectués avec ScareCrow. Microsoft Defender Advanced Threat Protection ne repose pas sur le hooking en espace utilisateur pour la télémétrie, mais utilise plutôt divers autres mécanismes tels que les callbacks du noyau. D'après les tests, ce framework fonctionne extrêmement bien pour contourner Microsoft Defender Advanced Threat Protection et exécuter du shellcode.
Au moment de la sortie, il existe actuellement deux techniques. J'ajouterai constamment différentes techniques qui exploitent ces vulnérabilités de différentes manières périodiquement, alors restez à l'écoute.
Les objets COM sont souvent créés lorsqu'une application est installée sur un système. Une fois créés, n'importe quelle application ou script peut les appeler, mais ce n'est pas la seule façon de les créer. En modifiant/créant des clés de registre dans la section HKEY_CLASSES_ROOT du registre Windows, nous pouvons créer un objet COM qui pointe vers notre shellcode sur le système. Cela signifie que toute application ou script capable d'utiliser COM peut l'appeler, exécutant ainsi le shellcode.
Cela fonctionne grâce au fonctionnement de l'API CoCreateInstance. CoCreateInstance est utilisée pour créer et initialiser des objets COM basés sur le CLSID (un identifiant global unique utilisé pour identifier une classe d'objet COM spécifique). Cette fonction extrait les informations nécessaires à l'exécution de l'appel en utilisant les valeurs stockées dans les clés de registre. Ces valeurs CLSID se trouvent dans le chemin HKEY_CLASSES_ROOT\CLSID\ du registre. Cependant, avant qu'un processus puisse appeler le CLSID, il doit connaître sa valeur. Cela se fait en effectuant d'abord une requête de registre pour rechercher l'objet COM dans HKEY_CLASSES_ROOT\<nom de l'objet COM>, et s'il existe, une deuxième requête de registre sera effectuée pour obtenir la valeur CLSID stockée dans le sous-dossier.
Une inspection plus approfondie des sous-dossiers du registre montre que les permissions pour les valeurs CLSID ne sont pas cohérentes. Une grande majorité des objets COM stockés ici n'autorisent que la permission "Contrôle total" au Trusted Installer. Le Trusted Installer est un compte de service qui possède des ressources pour les protéger, même des administrateurs. Cela vise à garantir que même si un attaquant obtient des privilèges administratifs, les ressources ne peuvent pas être manipulées malicieusement. Malheureusement, de nombreux objets COM permettent à quiconque dans le groupe Administrateurs la permission "Contrôle total". De plus, la clé racine CLSID accorde au groupe Administrateurs les permissions "Contrôle total" plutôt qu'à NT AUTHORITY\System ou Trusted Installer. De ce fait, sous un contexte élevé, nous pouvons créer ou même modifier les valeurs d'objets COM spécifiques.
Important
La création de ces clés de registre ne fonctionne que si vous les exécutez dans un contexte élevé. Double-cliquer dessus via une interface graphique n'exécutera pas le fichier .VBS dans un contexte élevé, même si vous êtes administrateur. Il est recommandé de l'exécuter depuis une invite de commandes administrative. Cependant, une fois les clés créées, n'importe quelle application peut appeler cet objet COM dans n'importe quel contexte.
Pour utiliser une charge utile ScareCrow avec ce type de contournement, vous pouvez exécuter la commande suivante :
./ScareCrow -I <chemin vers votre shellcode brut sans stade> -domain <nom de domaine> -Loader dll
Une fois que vous avez votre charge utile, utilisez le drapeau -N pour le nom de la charge utile lorsqu'elle est écrite sur le disque, le drapeau -C pour le nom de l'objet COM, le drapeau -I pour l'emplacement où l'écrire, et enfin le drapeau -O pour le fichier de sortie qui stockera le contenu.