gmh5225/robbinhood-attackReplicazione del ransomware e sfruttamento dei driver di Windows 8.1
Questo exploit ottiene inizialmente un handle sul driver gigabyte e utilizza il codice IOCTL per allocare memoria e inserire il nostro shellcode nella memoria del kernel. Lo shellcode stesso esegue un ciclo sulle strutture EPROCESS al fine di trovare il token associato al processo "system" e assegnare questo token al nostro cmd attuale. Da questo punto tutte le funzionalità di sicurezza di base sono disabilitate. Successivamente il driver di mimikatz viene scaricato e caricato nel sistema. Da questo punto Windows Defender è completamente arrestato al fine di cifrare tutti i file presenti sul desktop.
Dopo aver compilato il progetto è necessario utilizzare l'eseguibile InjectRSA per incorporare la propria chiave pubblica nell'eseguibile dell'exploit. Poi si avvia semplicemente l'exploit RobbinHood.exe.
InjectRSA.exe pub.key RobbinHood.exe
RobbinHood.exe
Questo exploit non è offuscato nativamente, è possibile applicare l'offuscamento in fase di compilazione installando il [progetto Obfuscator-LLVM] (https://github.com/heroims/obfuscator). Le seguenti direttive di compilazione per l'offuscamento sono state testate e approvate:
-D__CUDACC__ -D_ALLOW_COMPILER_AND_STL_VERSION_MISMATCH -mllvm -bcf -mllvm -bcf_prob=100 -mllvm -bcf_loop=3
-mllvm -sub -mllvm -sub_loop=2 -mllvm -fla -mllvm -split_num=10 -mllvm -aesSeed=DEADBEEFDEADBEEFDEADBEEFDEADBEEF
Driver vulnerabile: Gigabyte AORUS Graphics Engine v1.34
Pacchetto richiesto per il driver: Visual C++ Redistribuable 2012 x86
Sviluppato in Visual Studio 2013 Community
Testato su: Windows 8.1 x64 6.3.9600