WMEye

WMEye est un outil expérimental développé lors de l'exploration de Windows WMI. L'outil est conçu pour effectuer un mouvement latéral en utilisant WMI et l'exécution distante de MSBuild. Il télécharge le shellcode encodé/chiffré dans une propriété de classe WMI sur la cible distante, crée un filtre d'événement qui, lorsqu'il est déclenché, écrit une charge utile basée sur MSBuild en utilisant une classe WMI spéciale appelée LogFileEventConsumer et exécute finalement la charge utile à distance.

Cas d'utilisation

Mouvement latéral sans fichier utilisant WMI, peut être utilisé avec Execute-Assembly de Cobalt Strike

Note: Ceci est encore au stade expérimental et loin d'être utilisable dans un engagement réel.

Aperçu

Fonctionnement actuel

• Crée une classe WMI distante
• Écrit le shellcode comme valeur de propriété dans la classe WMI fictive créée ci-dessus
• Crée un filtre d'événement WMI pour se déclencher lors de la création du processus powershell.exe
• Sur déclenchement d'événement, il télécharge la charge utile MSBuild dans le système distant en utilisant LogFileEventConsumer (un type de consommateur WMI pour écrire des fichiers journaux)
• Enfin, invoque Win32_Process Create pour appeler MSBuild à distance