ImpulsiveDLLHijack

C# आधारित टूल जो लक्ष्य बाइनरी में DLL Hijacks की खोज और शोषण की प्रक्रिया को स्वचालित करता है। खोजे गए Hijacked पथों को बाद में RedTeam ऑपरेशन के दौरान EDR को बायपास करने के लिए हथियार बनाया जा सकता है।

1. कार्यप्रणाली दृष्टिकोण:

यह टूल मूलतः DLL Hijacking के लिए निम्नलिखित चरणों को स्वचालित करने पर कार्य करता है:

• खोज - संभावित रूप से कमजोर DLL Hijack पथ खोजना
• शोषण - यह पुष्टि करना कि पुष्टिकरण DLL वास्तव में Hijacked पथ से लोड किया गया था, जिससे 100% शोषण योग्य DLL Hijack की पुष्टि होती है!

खोज विधि:

• ImpulsiveDLLHijack.exe को लक्ष्य बाइनरी पथ प्रदान करें
• संभावित रूप से कमजोर DLL Hijack करने योग्य पथ खोजने के लिए ProcMon का स्वचालन और लक्ष्य बाइनरी का निष्पादन।

शोषण विधि:

• ProcMon के माध्यम से स्वचालित रूप से उत्पन्न CSV से संभावित रूप से कमजोर DLL Hijack पथ पार्स करें।

• पुष्टिकरण DLL (PE आर्किटेक्चर के अनुसार) को एक-एक करके hijack पथों पर कॉपी करें और एक साथ पूर्वनिर्धारित समय अवधि के लिए लक्ष्य बाइनरी निष्पादित करें।

• जैसे ही DLL hijacking प्रक्रिया प्रगति पर है, Hijack परिदृश्य से निम्नलिखित आउटपुट प्राप्त किए जा सकते हैं:

  • संभावित रूप से कमजोर Hijackable पथ पर मौजूद पुष्टिकरण DLL लक्ष्य बाइनरी द्वारा लोड किया जाता है, हमें कंसोल पर निम्नलिखित आउटपुट मिलता है जो बताता है कि DLL Hijack सफल था - DLL Hijack Successful -> DLLName: | <Target_binary_name>
  • संभावित रूप से कमजोर Hijackable पथ पर मौजूद पुष्टिकरण DLL लक्ष्य बाइनरी द्वारा लोड नहीं किया जाता है, हमें कंसोल पर निम्नलिखित आउटपुट मिलता है जो बताता है कि DLL Hijack असफल था - DLL Hijack Unsuccessful -> <DLL_Path>

  प्रवेश बिंदु नहीं मिला परिदृश्य:

  • संभावित रूप से कमजोर Hijackable पथ पर मौजूद पुष्टिकरण DLL लक्ष्य बाइनरी द्वारा लोड नहीं किया जाता है क्योंकि DLL का प्रवेश बिंदु हमारे डिफ़ॉल्ट प्रवेश बिंदु "DllMain" से अलग है, जो एक त्रुटि फेंकता है - "Entry Point Not Found", हमें कंसोल पर निम्नलिखित आउटपुट मिलता है जो बताता है कि DLL Hijack hijackable था यदि प्रवेश बिंदु सही होता -> DLL Hijack Successful -> [Entry Point Not Found - Manual Analysis Required!]: <Hijack_path>
  • संभावित रूप से कमजोर Hijackable पथ पर मौजूद पुष्टिकरण DLL लक्ष्य बाइनरी द्वारा निष्पादित किया जाता है, भले ही DLL का प्रवेश बिंदु हमारे डिफ़ॉल्ट प्रवेश बिंदु "DllMain" से अलग हो, जो "Entry Point Not Found" त्रुटि फेंकता है, हमें कंसोल पर निम्नलिखित आउटपुट मिलता है जो बताता है कि DLL Hijack प्रवेश बिंदु सही न होने पर भी सफल था -> DLL Hijack Successful -> [Entry Point Not Found]: <Hijack_path>

नोट: "Entry Point not found" त्रुटि को कोड द्वारा प्रोग्रामेटिक रूप से संभाला जाता है, MsgBox को मैन्युअल रूप से बंद करने की आवश्यकता नहीं है :) # अन्यथा यह कोड को आगे क्रैश कर देगा****

• एक बार सभी संभावित रूप से कमजोर DLL Hijack पथों के लिए DLL Hijacking प्रक्रिया पूरी हो जाने पर, हमें कंसोल पर और एक टेक्स्ट फ़ाइल (C:\DLLLogs\output_logs.txt) में निम्नलिखित प्रारूप में अंतिम आउटपुट मिलता है:

  • <DLLHijack_path> --> DLL Hijack Successful (यदि Hijack सफल था)
  • <DLLHijack_path> --> DLL Hijack Unsuccessful (यदि Hijack असफल था)
  • <DLLHijack_path> --> DLL Hijack Successful [Entry Point Not Found - Manual Analysis Required] (यदि प्रवेश बिंदु नहीं मिला लेकिन मैन्युअल विश्लेषण के बाद सफल हो सकता है)
  • <DLLHijack_path> --> DLL Hijack Successful [Entry Point Not Found] (यदि प्रवेश बिंदु न मिलने पर भी hijack सफल था)
  • <DLLHijack_path> --> Copy: Access to Path is Denied (पहुँच अस्वीकृत)

**इन पुष्टिकृत DLL Hijackable पथों को बाद में Red Team अभियान के दौरान एक वैध निष्पादन योग्य (जैसे OneDrive, Firefox, MSEdge, "Bring your own LOLBINs" आदि) के माध्यम से एक दुर्भावनापूर्ण DLL इम्प्लांट लोड करने और अत्याधुनिक EDR को बायपास करने के लिए हथियार बनाया जा सकता है, क्योंकि उनमें से अधिकांश DLL Hijacking का पता लगाने में विफल रहते हैं, जैसा कि George Karantzas और Constantinos Patsakis ने अपने शोध पत्र में आकलन किया है: https://arxiv.org/abs/2108.10422

2. पूर्वापेक्षाएँ:

• Procmon.exe -> https://docs.microsoft.com/en-us/sysinternals/downloads/procmon
• कस्टम पुष्टिकरण DLLs :
  • ये DLL फ़ाइलें हैं जो टूल को पुष्टि प्राप्त करने में सहायता करती हैं कि DLL पहचाने गए hijack पथ से सफलतापूर्वक लोड किए गए हैं
  • ऊपर दिए गए MalDLL प्रोजेक्ट से संकलित (या यदि आप मुझ पर भरोसा करते हैं तो पूर्व-संकलित बाइनरी का उपयोग करें!)
  • 32Bit dll का नाम होना चाहिए: maldll32.dll
  • 64Bit dll का नाम होना चाहिए: maldll64.dll
  • NuGet पैकेज स्थापित करें: PeNet -> https://www.nuget.org/packages/PeNet/ (ImpulsiveDLLHijack प्रोजेक्ट को संकलित करते समय पूर्वापेक्षा)

नोट: i और ii पूर्वापेक्षाओं को ImpulsiveDLLHijacks.exe की निर्देशिका में ही रखा जाना चाहिए।

• निर्माण और सेटअप जानकारी:

  • ImpulsiveDLLHijack

    • Visual Studio में रिपॉजिटरी क्लोन करें
    • एक बार प्रोजेक्ट Visual Studio में लोड हो जाए, तो "Project" --> "Manage NuGet packages" पर जाएं --> पैकेज ब्राउज़ करें और "PeNet" -> https://www.nuget.org/packages/PeNet/ स्थापित करें
    • प्रोजेक्ट बनाएं!
    • ImpulsiveDLLHijack.exe bin निर्देशिका के अंदर होगा।

  • और पुष्टिकरण DLLs के लिए:

    • Visual Studio में रिपॉजिटरी क्लोन करें
    • प्रोजेक्ट को x86 और x64 के साथ बनाएं
    • x86 रिलीज़ का नाम बदलकर maldll32.dll रखें और x64 रिलीज़ का नाम बदलकर maldll64.dll रखें

  • सेटअप: पुष्टिकरण DLLs (maldll32 और maldll64) को ImpulsiveDLLHijack.exe निर्देशिका में कॉपी करें, फिर ImpulsiveDLLHijack.exe निष्पादित करें :))

3. उपयोग:

4. उदाहरण:

• लक्ष्य निष्पादन योग्य: OneDrive.exe

• चरण: खोज

• चरण: शोषण

  • सफल DLL Hijacks:

  

  • असफल DLL Hijacks:

  

  • DLL लोड नहीं हुआ क्योंकि प्रवेश बिंदु समान नहीं है! मैन्युअल विश्लेषण इसे एक सफल DLL Hijack बना सकता है :)

  

  • असमान प्रवेश बिंदु के बावजूद DLL Hijack सफल!

  

• चरण: अंतिम परिणाम और लॉग

  • C:\DLLLogs\output_logs.txt:

  

धन्यवाद, प्रतिक्रिया की बहुत सराहना होगी! - knight!