c2us.exe - ログオン中のユーザーのデスクトップセッションで、実行中ユーザーとしてコマンドを起動します。この場合、非特権ユーザーのデスクトップセッションで cmd.exe を SYSTEM として起動します。 c2us.c - c2us.exe のソースコード。
epinject.exe - エントリポイントインジェクタ。新しいプロセスを生成し、そのエントリポイントにコードを注入するために使用されます。 loadgpsend.bin - epinject.exe を使用して PanGPA.exe に注入されるペイロード。メインのエクスプロイト本体である c:\windows\temp\gpsend.dll を実行します。
crypt.c - Globalprotect と互換性のある暗号化実装。 gpcaupgrade.c - メインのエクスプロイトコード。 gpupgrade.dll - メインのエクスプロイトDLL。
GlobalProtect.msi - バックドア化された 6.3.2 インストーラーのバージョン。エクスプロイト実行時に c2us.exe を使用して SYSTEM シェルを起動します。
gpcaupgrade.bat - これを実行してエクスプロイトを実行します。
エクスプロイト実行後、GP が更新プロセスを開始するまで 120 秒の遅延があります。ウィンドウがエラーを出して閉じない場合、エクスプロイトは失敗しています。成功した場合、閉じる前にいくつかのエラーメッセージ、点滅するウィンドウ、および SYSTEM として生成された cmd.exe が表示され、whoami コマンドで確認できます。
