TChopper

Nuova tecnica che ho scoperto recentemente e a cui ho dato un soprannome (Chop chop) per eseguire movimenti laterali utilizzando il nome visualizzato dei servizi Windows e WMI, contrabbandando il binario malevolo come chunk di base64 e automatizzando il processo tramite lo strumento TChopper.

image

Come funziona

• lo strumento prenderà il file che intendi contrabbandare e lo codificherà come base64 in uno stream di memoria
• dividerà la lunghezza di ogni riga per adattarsi a 150-250 caratteri (250 è lo spazio massimo consentito per il parametro lpDisplayname del servizio https://docs.microsoft.com/en-us/windows/win32/api/winsvc/nf-winsvc-createservicea).
• per l'attacco chop chop creerà un servizio unico per ogni chunk segmentato => avvierà il servizio => poi lo eliminerà per evitare duplicati, oppure puoi scegliere di modificare solo la modalità di attacco del servizio per renderlo più veloce e stabile selezionando l'opzione di modalità di attacco (-m)
• successivamente, modificherà il parametro lpbinarypath del servizio con la riga di comando necessaria per ottenere il nome visualizzato del servizio e reindirizzare i risultati in tmp_payload.txt
• infine, dopo aver consegnato tutti i chunk del file come base64, lo strumento creerà un altro servizio per decodificare il contenuto in un eseguibile valido ed eseguirlo

mentre se stai effettuando un movimento laterale utilizzando la tecnica WMI, puoi anche usare Chopper per farlo

• Tchopper autenticherà la tua sessione utilizzando WMI
• creazione di più processi e utilizzo di un comando PowerShell unico per reindirizzare ogni segmento a c:\users\public\chop.enc
• creazione di un processo finale per utilizzare certutil per decodificare il contenuto in binario ed eseguirlo

image

Utilizzo

#chop chop mode 
chopper.exe -s -u USERNAME -p PASSWORD -d DOMAIN -f BINARYLOCAL PATH 


# chop chop done 
chopper.exe -m -u USERNAME -p PASSWORD -d DOMAIN -f BINARYLOCAL PATH 

# use WMI to smuggle 
chopper.exe -w -u DOMAIN\USERNAME -p PASSWORD -t MACHINE -f LOCALBINARYPATH

https://youtu.be/xbvhzHul7w0

Ricerca dettagliata

http://0xsp.com/security%20research%20&%20development%20(SRD)/smuggling-via-windows-services-display-name-lateral-movement

Supporto

creo strumenti offsec per la comunità open-source, mostra il tuo supporto https://paypal.me/0xsp