cwjchoi01/cve-2024-57394Exploit proof-of-concept per CVE-2024-57394: ripristino di file con privilegi bassi in System32 che abilita il dirottamento DLL e l'escalation dei privilegi locali a SYSTEM tramite StorSvc.
È stata identificata una vulnerabilità nel Sistema di Gestione della Sicurezza Endpoint Qi-ANXIN Tianqing (testato sulla versione 10.0). Questa vulnerabilità consente agli utenti con privilegi bassi di ripristinare un file messo in quarantena in una posizione arbitraria, come C:\Windows\System32.
Un utente malintenzionato può creare un file DLL malevolo, ripristinarlo in C:\Windows\System32 e sfruttare vulnerabilità note di DLL hijacking (ad es., LPE tramite StorSvc) per elevare i privilegi a SYSTEM.
Creare una DLL malevola denominata sprintcsp.dll che esegue comandi dannosi.
Posizionare la DLL sulla macchina target; il file viene messo in quarantena.
Ripristinare e fidarsi del file nel client EDR.
Il file viene scritto correttamente in C:\Windows\System32.
Creare RpcClient.exe, che sfrutta una vulnerabilità di DLL hijacking nel servizio StorSvc per eseguire la DLL malevola sprintcsp.dll.
Come prova di concetto, la DLL creerà un servizio denominato abc ed eseguirà il binario in C:\Users\Public\test.exe come SYSTEM.
Riferimento: https://github.com/blackarrowsec/redteam-research/tree/master/LPE%20via%20StorSvc
