s12cybersecurity/rdpcredentialstealerImpianto Windows che ruba le credenziali RDP tramite API hooking (Detours) e iniezione DLL, acquisendo nomi utente e password in un file per la post-esplorazione del red team.
RDPCredentialStealer è un impianto che ruba le credenziali fornite dagli utenti in RDP utilizzando l'API Hooking con Detours in C++
Proviamo:
Per prima cosa trasferisco la DLL dal repository GitHub al percorso C:\Users\Public\Music:
Ora apro un'applicazione Windows RDP Connector:
E adesso eseguo l'EXE nel repository GitHub:
E quando provo ad accedere a un server RDP:
Inserisco l'utente: s12User e la password: passwdtest
E ora controllo il file: C:\Users\Public\Music\RDPCreds.txt
RDPCredStealerDLL:
Questo codice è un'implementazione di una tecnica di hooking in C++ utilizzando la libreria Detours. Mira specificamente alla funzione CredUnPackAuthenticationBufferW della libreria credui.dll, responsabile del decompattamento dei buffer di autenticazione utilizzati nelle operazioni di credenziali. Analizziamo il codice passo dopo passo: Vengono inclusi i file header necessari, come windows.h, wincred.h, detours.h e altri. Viene definito un tipo di puntatore a funzione CredUnPackAuthenticationBufferW_t, che rappresenta la firma della funzione originale CredUnPackAuthenticationBufferW. Viene dichiarato il puntatore a funzione pCredUnPackAuthenticationBufferW, che verrà utilizzato per memorizzare l'indirizzo della funzione originale.
Viene implementata la funzione MyCredUnPackAuthenticationBufferW, che funge da hook per la funzione originale. Viene chiamata quando viene invocata la funzione hookata. Questa funzione prima chiama la funzione originale utilizzando il puntatore a funzione memorizzato pCredUnPackAuthenticationBufferW. Poi converte il nome utente e la password recuperati da stringhe wide (LPWSTR) in stringhe codificate UTF-8 (std::string).
Infine, apre un file in modalità append e scrive il nome utente e la password. La funzione DllMain funge da punto di ingresso per la DLL di hooking. Viene chiamata quando la DLL viene caricata o scaricata. Quando ul_reason_for_call è DLL_PROCESS_ATTACH, indicante che la DLL viene caricata, carica la libreria credui.dll tramite LoadLibraryA.
Poi ottiene l'indirizzo della funzione originale CredUnPackAuthenticationBufferW utilizzando GetProcAddress. In caso di successo, avvia il processo di hooking chiamando DetourTransactionBegin, DetourUpdateThread e DetourAttach. Quando ul_reason_for_call è DLL_PROCESS_DETACH, indicante che la DLL viene scaricata, inverte il processo di hooking chiamando DetourTransactionBegin, DetourUpdateThread e DetourDetach.
Lo scopo di questo codice è hookare la funzione CredUnPackAuthenticationBufferW e intercettare le credenziali ad essa passate, permettendo al codice di hooking di estrarre e registrare il nome utente e la password in un file. Questa tecnica può essere utilizzata malevolmente per catturare informazioni sensibili come le credenziali RDP, il che rappresenta un problema di sicurezza significativo.
Inject.h
Questo codice fornisce funzioni per iniettare una DLL (Dynamic Link Library) in un processo target sul sistema operativo Windows. Analizziamo il codice e comprendiamo la sua funzionalità:
Vengono inclusi i file header necessari, come windows.h, stdio.h e tlhelp32.h. Questi header forniscono le funzioni e i tipi di dati necessari per interagire con l'API Windows.
La funzione getPIDbyProcName prende come input un nome di processo e restituisce l'ID del processo corrispondente (PID). Utilizza la funzione CreateToolhelp32Snapshot per creare uno snapshot dei processi correnti, quindi itera attraverso lo snapshot utilizzando le funzioni Process32FirstW e Process32NextW per trovare il processo con un nome corrispondente. Se trovato, restituisce l'ID del processo; altrimenti, restituisce 0.
La funzione DLLinjector prende come input un ID di processo (pid) e un percorso DLL. Inietta la DLL specificata nel processo target. Ecco come funziona: a. Apre il processo target utilizzando OpenProcess con il flag PROCESS_ALL_ACCESS. b. Recupera l'handle del modulo Kernel32 utilizzando GetModuleHandleW. c. Ottiene l'indirizzo della funzione LoadLibraryW all'interno di Kernel32 utilizzando GetProcAddress. d. Alloca memoria nel processo target utilizzando VirtualAllocEx. e. Scrive il percorso della DLL nella memoria allocata nel processo target utilizzando WriteProcessMemory. f. Crea un thread remoto nel processo target utilizzando CreateRemoteThread e passa l'indirizzo di LoadLibraryW e la memoria allocata come parametri. g. Se la creazione del thread ha successo, restituisce true indicando che l'iniezione della DLL è stata eseguita con successo. La funzione main non è fornita in questo frammento di codice. Puoi utilizzare queste funzioni all'interno della tua applicazione per iniettare una DLL in un processo target fornendo il nome del processo e il percorso della DLL come input.
Si prega di notare che l'iniezione di DLL è una tecnica con varie applicazioni, inclusi sia casi d'uso legittimi (come il debug e l'estensione delle funzionalità) che scopi malevoli (come l'iniezione di malware o la modifica del comportamento di un processo senza autorizzazione). Prestare attenzione e assicurarsi di disporre delle autorizzazioni e dei diritti legali appropriati prima di utilizzare tali tecniche.
