WMEye

WMEye è uno strumento sperimentale sviluppato durante l'esplorazione di Windows WMI. Lo strumento è progettato per eseguire movimento laterale utilizzando WMI e l'esecuzione remota di MSBuild. Carica lo shellcode codificato/cifrato in una proprietà di classe WMI sul target remoto, crea un filtro evento che, quando attivato, scrive un payload basato su MSBuild utilizzando una classe WMI speciale chiamata LogFileEventConsumer e infine esegue il payload in remoto.

Caso d'uso

Movimento laterale senza file utilizzando WMI, può essere usato con Execute-Assembly di Cobalt Strike.

Nota: È ancora in fase sperimentale e non è minimamente pronto per essere utilizzato in un impegno reale.

Anteprima

Funzionamento attuale

• Crea una classe WMI remota
• Scrive lo shellcode come valore di proprietà nella classe WMI fittizia appena creata
• Crea un filtro evento WMI che si attiva alla creazione del processo powershell.exe
• All'attivazione dell'evento, carica il payload MSBuild nel sistema remoto utilizzando LogFileEventConsumer (un tipo di consumatore WMI per scrivere file di log)
• Infine invoca Win32_Process Create per chiamare MSBuild in remoto

Il payload MSBuild recupera lo shellcode codificato dalla proprietà della classe WMI, lo decodifica e lo esegue.