TeamsImplant

このプロジェクトは、Teamsが使用するurlmon.dllをプロキシするステルス型のTeamsインプラントです。このDLLをコンパイルしてTeamsディレクトリにurlmon.dllとして配置すると、Teamsがユーザーによって起動されたときや起動時に、持続的なバックドアとして機能します。

特徴:

• Mutex: Teamsが10個の異なるTeamsプロセスを作成し、それぞれにプロキシDLLをロードした場合でも、10個のシェルが大量に生成されるのを防ぎます。
• DLLのアンフックを実行し、通常のシェルコードインジェクション関数を問題なく呼び出せるようにします。
• シェルコードにAES暗号化を使用して、検出されることなくインプラントにシェルコードを埋め込むことができます。
• exitfunc=threadを設定したMetasploitを使用してシェルコードを生成し、Meterpreterセッションを終了する際にTeamsプロセスを強制終了しないようにしています。

動作例については、以下のビデオをご覧ください:

https://user-images.githubusercontent.com/41178870/155579560-088ee7dc-d1e9-41e2-a760-1520b478bd9e.mp4