SharpPolarBear

Ceci est une version armée de l'un des exploits publiés par SandboxEscaper depuis ici (https://github.com/SandboxEscaper/polarbearrepo).

La plupart du code provient du dépôt CollectorService de rasta-mouse (https://github.com/rasta-mouse/CollectorService). J'ai simplement converti le code CVE-2019-0841 du code C++ original de SandboxEscaper en C# et ajouté quelques vérifications.

J'ai également ajouté les binaires nécessaires (schtasks.exe, schedsvc.dll + un fichier Job Windows XP exporté), qui sont décompressés pendant l'exécution puis supprimés. Vous n'avez donc besoin que d'un seul binaire ici.

Windows Defender semble avoir une détection heuristique pour les applications créant un lien physique (hardlink) de C:\windows\system32\tasks vers un fichier dans C:\windows\system32. Avec Defender, cet exécutable a donc de grandes chances d'être bloqué/détecté.

Vous devez exécuter l'exécutable deux fois pour obtenir un shell système.

Avertissement légal :

L'utilisation de SharpPolarBear pour attaquer des cibles sans consentement mutuel préalable est illégale. Il incombe à l'utilisateur final de respecter toutes les lois locales, étatiques et fédérales applicables. Les développeurs déclinent toute responsabilité pour toute utilisation abusive ou dommage causé par ce programme. Utilisez-le uniquement à des fins éducatives ou de tests d'intrusion.