Maldev Academy

Maldev Academy Home

Maldev Academy Syllabus

Christmas

Implementazione di un metodo di injection menzionato da @Hexacorn.

Questa PoC crea più processi, ognuno dei quali esegue un compito specifico come parte dell'operazione di injection. Ogni processo figlio genera un altro processo e passa le informazioni necessarie tramite la riga di comando. Il programma segue i passaggi seguenti:

1. Il primo processo figlio crea il processo di destinazione in cui verrà iniettato il payload. L'handle viene ereditato da tutti i processi figli successivi.
2. Il secondo processo figlio alloca memoria nel processo di destinazione.
3. Il terzo processo figlio modifica i permessi della memoria precedentemente allocata in RWX.
4. Successivamente, per ogni 1024 byte del payload, verrà creato un processo per scrivere quei byte.
5. Infine, un altro processo sarà responsabile dell'esecuzione del payload.

La PoC utilizza l'algoritmo di crittografia RC4 per crittografare un payload Havoc Demon. Il programma, ChristmasPayloadEnc.exe, sarà responsabile della crittografia del payload e del suo padding per renderlo multiplo di 1024 (come richiesto dalla logica di injection).

Demo: Bypass di MDE utilizzando il payload Demon di Havoc