[!CAUTION] Questo repository non è più mantenuto, visita https://github.com/sadreck/Spartacus per l'ultima versione.

Spartacus DLL/COM Hijacking Toolkit

Perché "Spartacus"?

Se hai visto il film Spartacus del 1960, ricorderai la scena in cui i romani chiedono che Spartacus si arrenda. Nel momento in cui il vero Spartacus si alzò, molti altri si alzarono e rivendicarono di essere lui usando la frase "IO SONO SPARTACUS".

Quando un processo vulnerabile al DLL Hijacking richiede il caricamento di una DLL, è come chiedere "CHI È VERSION.DLL?" e directory casuali iniziano a dichiarare "IO SONO VERSION.DLL" e "NO, IO SONO VERSION.DLL". E così, Spartacus.

Cosa rende questo strumento diverso da tutti gli altri tool di hijacking?

• Spartacus automatizza gran parte del processo. Analizza i log grezzi di SysInternals Process Monitor e puoi lasciare ProcMon in esecuzione per ore e scoprire vulnerabilità di DLL/COM hijacking di secondo e terzo livello (ad es. un'app che carica un'altra DLL che a sua volta ne carica un'altra quando usi una funzione specifica dell'app principale).
• Genera automaticamente soluzioni Visual Studio per DLL vulnerabili.
• In grado di elaborare file PML di grandi dimensioni e salvare tutti gli eventi di interesse in un file CSV. Benchmark locale: elaborato un file da 3 GB con 8 milioni di eventi in 45 secondi.
• Supporta la scansione sia per vulnerabilità di DLL che di COM hijacking.
• Supporta la generazione di certificati autofirmati e la firma di file DLL.
• Utilizzando le funzionalità di Ghidra, estrae le firme delle funzioni di esportazione ed esegue il payload tramite funzioni proxied individualmente anziché eseguire tutto da DllMain. Questa tecnica è stata ispirata e implementata dal walkthrough descritto su https://www.redteam.cafe/red-team/dll-sideloading/dll-sideloading-not-by-dllmain, di Shantanu Khandelwal.
• [Difesa] Modalità di monitoraggio per cercare di identificare applicazioni in esecuzione che fanno proxying delle chiamate, come in "DLL Hijacking in corso". Questo serve solo per individuare frutti a portata di mano e non dovrebbe essere considerato affidabile.

Indice

• Installazione
• Funzionalità supportate
  • DLL Hijacking
    • Utilizzo
  • COM Hijacking
    • Utilizzo
  • Generazione proxy DLL
    • Utilizzo
  • Firma di file DLL
    • Utilizzo
  • Rilevamento DLL Hijacking
• Argomenti da riga di comando
• Contributi
• Crediti

Installazione

Trova e scarica l'ultima versione di Spartacus in Releases. Altrimenti clona semplicemente questo repository e compila dal sorgente.

Funzionalità supportate

Di seguito una descrizione di ciascuna delle modalità supportate da Spartacus.

Nota: Gli argomenti da riga di comando sono cambiati notevolmente dalla v1 alla v2.

DLL Hijacking

La funzionalità originale di Spartacus era esclusivamente la ricerca di vulnerabilità di DLL hijacking. Il funzionamento è il seguente:

1. Genera al volo un file di configurazione ProcMon (PMC) basato sugli argomenti passati. I filtri che verranno impostati sono:
   • Operazione è CreateFile.
   • Il percorso termina con .dll.
   • Il nome del processo non è procmon.exe o procmon64.exe.
   • Abilita Drop Filtered Events per garantire una dimensione minima dell'output PML.
   • Disabilita Auto Scroll.
2. Esegue Process Monitor e si ferma fino a quando l'utente non preme INVIO.
3. L'utente esegue/termina i processi, o lo lascia in esecuzione per tutto il tempo necessario.
4. Termina Process Monitor quando l'utente preme INVIO.
5. Analizza il file Event Log (PML) di output.
   1. Crea un file CSV con tutte le DLL con risultato NAME_NOT_FOUND e PATH_NOT_FOUND.
   2. Confronta le DLL di cui sopra e cerca di identificare le DLL che sono state effettivamente caricate.
   3. Per ogni DLL "trovata", genera una soluzione Visual Studio per il proxying di tutte le funzioni di esportazione identificate della DLL.

Utilizzo DLL Hijacking

Raccogli tutti gli eventi e salvali in C:\Data\logs.pml. Tutte le DLL vulnerabili verranno salvate in C:\Data\VulnerableDLLFiles.csv e tutte le soluzioni proxy DLL in C:\Data\Solutions.

--mode dll --procmon C:\SysInternals\Procmon.exe --pml C:\Data\logs.pml --csv C:\Data\VulnerableDLLFiles.csv --solution C:\Data\Solutions --verbose

Analizza un file PML di log eventi esistente, salva l'output in CSV e genera soluzioni Visual Studio proxy.

--mode dll --existing --pml C:\MyData\SomeBackup.pml --csv C:\Data\VulnerableDLLFiles.csv --solution C:\Data\Solutions --verbose

Screenshot

COM Hijacking

Una nuova funzionalità di Spartacus è l'identificazione di vulnerabilità di COM hijacking locali. Il funzionamento è il seguente:

1. Genera al volo un file di configurazione ProcMon (PMC) basato sugli argomenti passati. I filtri che verranno impostati sono:
   • Operazione è RegOpenKey.
   • Il nome del processo non è procmon.exe o procmon64.exe.
   • Abilita Drop Filtered Events per garantire una dimensione minima dell'output PML.
   • Disabilita Auto Scroll.
2. Esegue Process Monitor e si ferma fino a quando l'utente non preme INVIO.
3. L'utente esegue/termina i processi, o lo lascia in esecuzione per tutto il tempo necessario.
4. Termina Process Monitor quando l'utente preme INVIO.
5. Analizza il file Event Log (PML) di output.
   1. Identifica tutte le chiavi di registro mancanti che terminano con InprocServer32 e il cui risultato è NAME_NOT_FOUND.
   2. Se la chiave identificata si trova sotto HKEY_CURRENT_USER, cerca il suo GUID sotto HKEY_CLASSES_ROOT e include i suoi dettagli nel CSV di esportazione (se trovato).

Per il COM hijacking, Spartacus supporta anche la scansione del sistema locale per voci COM malconfigurate:

1. Enumerare tutte le chiavi in HKEY_CLASSES_ROOT, HKEY_CURRENT_USER e HKEY_LOCAL_MACHINE.
2. Cerca chiavi di registro chiamate InProcServer, InProcServer32, LocalServer o LocalServer32.
3. Identifica qualsiasi posizione EXE/DLL mancante, insieme a eventuali configurazioni ACL errate come la possibilità per l'utente corrente di Modificare o Eliminare il file.

Utilizzo COM Hijacking

Raccogli tutti gli eventi e salvali in C:\Data\logs.pml. Tutte le informazioni COM vulnerabili verranno salvate in C:\Data\VulnerableCOM.csv.

--mode com --procmon C:\SysInternals\Procmon.exe --pml C:\Data\logs.pml --csv C:\Data\VulnerableCOM.csv --verbose

Elabora un file PML esistente per identificare voci COM vulnerabili.

--mode com --existing --pml C:\Data\logs.pml --csv C:\Data\VulnerableCOM.csv --verbose

Enumera il registro di sistema locale per identificare librerie ed eseguibili COM mancanti/malconfigurati.

--mode com --acl --csv C:\Data\VulnerableCOM.csv --verbose

Screenshot

Generazione proxy DLL

Spartacus supporta la generazione di soluzioni Visual Studio creando progetti scheletro da utilizzare, basati sulla DLL che si desidera sfruttare.

• Reindirizzamento di tutte le chiamate esportando funzioni alla DLL legittima.
  • Ciò significa che dovrai eseguire il payload dalla funzione DllMain.
• Utilizzando Ghidra, estrai quante più firme/definizioni di funzioni possibile dalla DLL di destinazione e crea funzioni proxy per queste.
  • Per qualsiasi funzione di cui non è stato possibile estrarre la firma, verrà reindirizzata direttamente alla funzione/DLL legittima.
  • Ciò significa che puoi eseguire il payload da una funzione al di fuori di DllMain.
  • Ad esempio, se desideri sfruttare version.dll, potresti eseguire il tuo implant da GetFileVersionInfoExW se tale funzione viene chiamata dall'applicazione vulnerabile.

Utilizzo Generazione proxy DLL

Genera una soluzione che reindirizza tutte le esportazioni (nessun proxying di funzioni).

--mode proxy --dll C:\Windows\System32\version.dll --solution "C:\data\tmp\refactor-version" --overwrite --verbose --external-resources

È possibile inserire più DLL contemporaneamente.

--mode proxy --dll C:\Windows\System32\version.dll --dll C:\Windows\System32\userenv.dll --solution "C:\data\tmp\dll-collection" --overwrite --verbose --external-resources

Crea proxy per quante più funzioni possibile (basandosi sull'output di Ghidra).

--mode proxy --ghidra C:\ghidra\support\analyzeHeadless.bat --dll C:\Windows\System32\userenv.dll --solution C:\Projects\spartacus-userenv --overwrite --verbose

Come sopra, ma utilizza file di risorse esterne per generare la soluzione (se è necessario modificarli).

--mode proxy --ghidra C:\ghidra\support\analyzeHeadless.bat --dll C:\Windows\System32\userenv.dll --solution C:\Projects\spartacus-userenv --overwrite --verbose --external-resources

Utilizza prototipi di funzioni pre-generati per funzioni per le quali Ghidra non è riuscito a estrarre le definizioni.

--mode proxy --ghidra C:\ghidra\support\analyzeHeadless.bat --dll C:\Windows\System32\userenv.dll --solution C:\Projects\spartacus-userenv --overwrite --verbose --external-resources --prototypes C:\data\prototypes.csv

Genera proxy solo per le funzioni GetFileVersionInfoExW e GetFileVersionInfoExA.

--mode proxy --ghidra C:\ghidra\support\analyzeHeadless.bat --dll C:\Windows\System32\version.dll --solution C:\Projects\spartacus-version --verbose --overwrite --external-resources --only "GetFileVersionInfoExW, GetFileVersionInfoExA"

Genera un database di prototipi di funzioni da file *.h esistenti, aiutando a generare funzioni proxy per quelle per cui Ghidra non è stato in grado di estrarre la definizione della funzione.

--mode proxy --action prototypes --path "C:\Program Files (x86)\Windows Kits" --csv C:\data\prototypes.csv --verbose

Elenca le esportazioni di una DLL e controlla se ogni funzione ha un prototipo pre-generato.

--mode proxy --action exports --dll C:\Windows\System32\version.dll --dll C:\Windows\System32\amsi.dll --prototypes ./Assets/prototypes.csv

Firma di file DLL

Spartacus ora supporta la generazione di certificati autofirmati (copiando attributi da file esistenti) e la firma di file DLL.

Utilizzo per la firma di file DLL

Crea un certificato di firma, utilizzando le proprietà da C:\Windows\System32\version.dll (deve essere una DLL firmata).

--mode sign --action generate --pfx "C:\Output\certificate.pfx" --password "Welcome1" --not-before "2022-12-31 00:00:55" --not-after "2026-01-01 00:00:01" --copy-from C:\Windows\System32\version.dll --verbose

Firma una DLL utilizzando un certificato esistente/generato.

--mode sign --action sign --pfx "C:\Output\certificate.pfx" --password "Welcome1" --path "C:\Input\MyFakeVersion.dll" --algorithm SHA256 --verbose

Rilevamento DLL Hijacking

Spartacus ha anche una modalità --detect, che cerca di identificare proxying attivo di DLL. La logica è la seguente:

• Enumera tutti i processi.
• Per ogni processo, carica le DLL (moduli) che ha caricato in memoria (supponendo di avere i permessi corretti per farlo).
• Se trovi una DLL con lo stesso nome:
  • Se entrambi i file si trovano in un percorso di sistema (es. Windows, System32, Program Files), ignora.
  • Se solo uno dei file si trova in un percorso di sistema e l'altro in una posizione scrivibile dall'utente, segnala il file.

Per utilizzare questa funzionalità, basta eseguire Spartacus con --detect.

Auto-firma di eseguibili/DLL

Spartacus supporta la modalità --sign che ti consente sia di generare certificati autofirmati, sia di firmare con essi le DLL compilate.

Genera un certificato autofirmato, copiando l'emittente/soggetto da un file esistente:

--mode sign --action generate --pfx "C:\Output\myCertificate.pfx" --password "Welcome1" --not-before "2023-01-01 00:00:04" --not-after "2025-01-01 00:00:42" --copy-from C:\Windows\System32\version.dll --verbose

E usa quel certificato per firmare il tuo file compilato:

--mode sign --action sign --pfx "C:\Output\myCertificate.pfx" --password "Welcome1" --path "C:\Projects\Spartacus-AMSI\amsi.dll" --algorithm SHA256 --verbose

Argomenti da riga di comando

Per semplificarti la vita, usa il file CommandLineGenerator.html.

Contributi

Che si tratti di un errore di battitura, un bug o una nuova funzionalità, Spartacus è molto aperto ai contributi purché concordiamo sulle seguenti condizioni:

• Sei d'accordo con la licenza MIT di questo progetto.
• Prima di creare una pull request, crea un issue in modo che possa essere discusso prima di fare qualsiasi lavoro, poiché lo sviluppo interno non viene tracciato tramite il repository pubblico di GitHub. Altrimenti rischi che la tua pull request venga rifiutata se, ad esempio, stiamo già lavorando sulla stessa funzionalità o su una simile, o per qualsiasi altro motivo.

Crediti

• https://github.com/eronnen/procmon-parser/
• https://www.redteam.cafe/red-team/dll-sideloading/dll-sideloading-not-by-dllmain
• https://stmxcsr.com/persistence/com-hijacking.html
• Icona di Spartacus tratta da Icone casco create da Darius Dan - Flaticon | https://dariusdan.com/
• https://github.com/Danielku15/SigningServer