Ghost Scheduled Task

WithSecureによるスケジュールタスク改ざんの研究に着想を得て、レジストリキーの操作のみでスケジュールタスクを作成する可能性が説明されていました。このアプローチにより、4698や106といったスケジュールタスク作成イベントログの生成を回避でき、よりステルスな永続化手段が実現できます。これらの知見に基づき、私はレジストリの直接操作によるスケジュールタスク作成を実証するPOCを開発しました。

新しいスケジュールタスクを作成するには、いくつかのレジストリキーとそれに関連する値を追加する必要があります。スケジュールタスクに関連するレジストリ値の構造は文書化されていないため、これらの構造を構築する方法は、主に正規のスケジュールタスクのレジストリ値との比較に基づく試行錯誤に依存しました。さらに、Taskschd.h ヘッダーファイルのインターフェースも参照し、Cyber.WTF Windows Registry Analysis – Today's Episode: Tasksからも多大な知恵を借りました。この研究は、Triggers、Actions、DynamicInfo など、機能するスケジュールタスクを構築するために不可欠な各レジストリ値の構造を定式化する上で非常に貴重でした。

このツールは以下の機能を提供します：

• 制限的なセキュリティ記述子を使用してスケジュールタスクを作成し、すべてのユーザーから見えなくします。
• レジストリ経由で直接スケジュールタスクを確立し、標準のWindowsイベントログが生成されるのを回避します。
• 既存のスケジュールタスクを、Windowsイベントログを生成せずに変更する機能を提供します。
• リモートでのスケジュールタスク作成をサポート（特別に細工したSilver Ticketを使用）。
• C2環境で、インメモリPE実行モジュール（例：BruteRatelのmemexec）と連携して実行可能。

*注意：

• 2023年10月21日時点で、このツールはWindows 10、Windows Server 2016、2019、2022でテスト済みです。
• 2023年10月21日時点では、MDE（Microsoft Defender For Endpoint）においてアラートやスケジュールタスク作成イベント（ScheduledTaskCreatedアクションタイプ）は生成されません。
• このツールを使用してスケジュールタスクを作成するには、"NT AUTHORITY/SYSTEM" の特権が必要です。
• スケジュールタスクを構成した後、タスクが"Schedule"サービスのプロセスに読み込まれ、その後実行されるようにするには、システムを再起動するか、次の再起動を待つ必要があります。

Usage

Usage: GhostTask.exe <hostname/localhost> <operation> <taskname> <program> <argument> <username> <scheduletype> <time/second> <day>
- hostname/localhost: リモートコンピュータ名または"localhost"。
- operation: add/delete
  - add: レジストリキーのみを使用してスケジュールタスクを作成または変更します。タスク定義を読み込むには、"Schedule"サービスの再起動が必要です。
  - delete: スケジュールタスクを削除します。タスクをアンロードするには、"Schedule"サービスの再起動が必要です。
- taskname: スケジュールタスクの名前。
- program: 実行するプログラム。
- argument: プログラムへの引数。
- username: スケジュールタスクを実行するユーザーアカウント。
- scheduletype: サポートされるトリガー：second、daily、weekly、logon。
- time/second ('second'、'daily'、'weekly'トリガーに適用):
  - 'second'トリガーの場合：タスク実行の秒単位の頻度を指定します。
  - 'daily'および'weekly'トリガーの場合：タスク実行の正確な時刻（例：22:30）を指定します。
- day ('weekly'トリガーに適用)：スケジュールタスクを実行する曜日（例：monday、thursday）。

コンパイル

x86_64-w64-mingw32-gcc GhostTask.c -o GhostTask.exe -lrpcrt4

例

1. 毎週月曜日と木曜日の午後2時12分にnotepad.exeを起動するスケジュールタスクを作成：

GhostTask.exe localhost add demo "cmd.exe" "/c notepad.exe" LAB\Administrator weekly 14:12 monday,thursday

2. 既存のスケジュールタスクを新しいスケジュールタイプ、ユーザー、プログラムで変更：

GhostTask.exe localhost add "Microsoft\Office\Office Automatic Updates 2.0" "cmd.exe" "/c notepad.exe" LAB\employee001 daily 20:37

3. リモートコンピュータに新しいスケジュールタスクを作成：

WithSecureのブログ（追加：ラテラルムーブメントセクション）で概説されているように、この手法は特別に細工したSilver Ticketを使用してリモートで新しいスケジュールタスクを作成するために使用できます。

kerberos::golden /domain:LAB.CORP /sid:S-1-5-21-1111111111-1111111111-1111111111 /aes256:[aes256hash] /user:Administrator /service:cifs /target:dc01.lab.corp /sids:S-1-5-18 /endin:600 /renewmax:10080

DC01サーバー上でリモートに、毎日午後3時19分にnotepad.exeを起動する新しいスケジュールタスクを作成：

GhostTask.exe DC01.lab.corp add demo "cmd.exe" "/c notepad.exe" LAB\Administrator daily 15:19

クレジット

• 研究WithSecure Scheduled Task Tamperingを提供したWithSecure
• 研究Windows Registry Analysis – Today’s Episode: Tasksを提供したCyber.WTF
• bof-registryの作者ausecwa