WMEye

WMEye एक प्रायोगिक उपकरण है जिसे Windows WMI की खोज के दौरान विकसित किया गया था। यह उपकरण WMI और रिमोट MSBuild निष्पादन का उपयोग करके Lateral Movement करने के लिए विकसित किया गया है। यह एन्कोडेड/एन्क्रिप्टेड शेलकोड को रिमोट लक्ष्यों की WMI क्लास प्रॉपर्टी में अपलोड करता है, एक ईवेंट फ़िल्टर बनाता है जो ट्रिगर होने पर LogFileEventConsumer नामक एक विशेष WMI क्लास का उपयोग करके MSBuild-आधारित पेलोड लिखता है और अंततः पेलोड को दूरस्थ रूप से निष्पादित करता है।

उपयोग का मामला

WMI का उपयोग करके Fileless Lateral Movement, Cobalt Strike के Execute-Assembly के साथ उपयोग किया जा सकता है

नोट: यह अभी भी प्रायोगिक चरण में है और वास्तविक अभियान में उपयोग के लिए कहीं भी तैयार नहीं है।

पूर्वावलोकन

वर्तमान कार्य

• एक रिमोट WMI क्लास बनाता है
• उपरोक्त बनाई गई नकली WMI क्लास में शेलकोड को प्रॉपर्टी मान के रूप में लिखता है
• powershell.exe प्रक्रिया निर्माण पर ट्रिगर होने के लिए एक WMI ईवेंट फ़िल्टर बनाता है
• ईवेंट ट्रिगर पर, यह LogFileEventConsumer (लॉग फ़ाइलें लिखने के लिए एक WMI उपभोक्ता प्रकार) का उपयोग करके रिमोट सिस्टम में MSBuild पेलोड अपलोड करता है
• अंत में Win32_Process Create को लागू करके MSbuild को दूरस्थ रूप से कॉल करता है

MSBuild पेलोड एन्कोडेड शेलकोड को WMI क्लास प्रॉपर्टी से प्राप्त करता है, इसे डिकोड करता है और निष्पादित करता है।

आगामी सुविधाएँ

• WIN32_Process Create आह्वान विधि को किसी बेहतर चीज़ से बदलें
• शेलकोड और XML फ़ाइल बाइट्स के लिए GZIP संपीड़न जोड़ें
• NTLM PTH समर्थन जोड़ें
• logfileeventconsumer द्वारा MSBuild पेलोड लिखने के बाद ईवेंट फ़िल्टर हटाने के लिए सफाई कार्य जोड़ें

इस प्रोजेक्ट में क्या अनोखा है?

• एन्कोडेड/एन्क्रिप्टेड शेलकोड को बनाई गई नकली क्लास पर रिमोट मशीनों की WMI प्रॉपर्टी में अपलोड करता है (शायद मौजूदा क्लास की प्रॉपर्टी में शेलकोड लिखने के लिए ट्वीक किया जा सकता है)
• win32_process Create का उपयोग करके Powershell.exe चलाने पर निर्भर रहने के बजाय, MSBuild फ़ाइल अपलोड करने के लिए LogFileEventConsumer का उपयोग करता है

श्रेय

https://www.fireeye.de/content/dam/fireeye-www/global/en/current-threats/pdfs/wp-windows-management-instrumentation.pdf