MiniPlasma-Runner

Nightmare-Eclipse/MiniPlasma (CVE-2020-17103) の修正版で、C2使用に適合させたもの。

元のPoCはディスクからのみ動作します。このバージョンはexecute-assemblyを介してメモリ上で完全に動作し、検出を回避するために分割バイナリアプローチを採用しています。

免責事項

このツールは、許可されたセキュリティテストおよび教育目的のみで提供されます。明示的な書面による許可なしにシステムに対してこのツールを使用することは違法であり、非倫理的です。作者は、このツールの誤用または損害について一切の責任を負いません。セキュリティテストを実施する前に、必ず適切な許可を取得してください。

変更点

• マルチプロセス段階をシングルプロセススレッド実行にリファクタリング（Assembly.Location による自己再起動は不要）
• ホストプロセスを強制終了する Environment.Exit() 呼び出しを削除
• 2つのバイナリに分割：メインエクスプロイト（メモリ上で実行） + MiniRunner（小さなSYSTEMコールバックを一時的にディスクに保存）
• MiniRunner は .NET リソースとして埋め込まれ、実行時に抽出される
• 実行ごとに一意の名前付きパイプを使用（繰り返し実行時のパイプ競合を防止）
• 構成は C:\ProgramData 経由で渡される（ユーザーおよびSYSTEMコンテキストの両方からアクセス可能）
• コマンドライン引数によるカスタムペイロードパス
• .NET Framework 4.8 にターゲット変更
• マニフェスト署名要件を削除
• プロジェクト構造をフラット化

ビルド

csc /platform:x64 /optimize /out:runner.bin MiniRunner.cs
msbuild MiniPlasma.sln /p:Configuration=Release

注意: runner.bin を最初にコンパイルする必要があります。ビルド中にメインの実行ファイルに埋め込まれます。

使用方法

execute-assembly MiniPlasma-Runner.exe C:\Path\To\payload.exe

引数なしの場合はデフォルトで conhost.exe が使用されます。

必要条件

• ターゲットに Cloud Files フィルタードライバーが利用可能であること（実行されていない場合は sc start cldflt で起動）
• 標準ユーザーコンテキスト（これはローカル権限昇格です）
• ターゲットに .NET Framework 4.8

ディスクフットプリント

MiniRunner のみが一時ディレクトリ内の wermgr.exe としてディスクに触れます（約5KB、C:\ProgramData 下）。実行後に自動的にクリーンアップされます。メインのエクスプロイトは決してディスクに触れません。

クレジット

• Nightmare-Eclipse - オリジナルの MiniPlasma PoC
• CVE-2020-17103 - Cloud Files のハイドレーション中断による任意のレジストリキー書き込み