MiniPlasma-Runner

Nightmare-Eclipse/MiniPlasma (CVE-2020-17103)의 수정 버전으로, C2 사용에 맞게 조정되었습니다.

원래 PoC는 디스크에서만 실행됩니다. 이 버전은 execute-assembly를 통해 메모리에서 완전히 실행되며, 이진 파일을 분할하여 탐지를 회피합니다.

면책 조항

이 도구는 승인된 보안 테스트 및 교육 목적으로만 제공됩니다. 명시적인 서면 허가 없이 시스템에 대해 이 도구를 사용하는 것은 불법이며 비윤리적입니다. 저자는 이 도구의 오용 또는 손해에 대해 어떠한 책임도 지지 않습니다. 보안 테스트를 수행하기 전에 항상 적절한 승인을 받으십시오.

변경 사항

• 다중 프로세스 단계를 단일 프로세스 스레드 실행으로 리팩토링 (Assembly.Location을 통한 자체 재실행 제거)
• 호스팅 프로세스를 종료하는 Environment.Exit() 호출 제거
• 두 개의 이진 파일로 분할: 메인 익스플로잇(메모리에서 실행) + MiniRunner(디스크에 잠시 드롭되는 작은 SYSTEM 콜백)
• MiniRunner는 .NET 리소스로 포함되어 런타임에 추출됨
• 실행마다 고유한 named pipe 사용 (반복 실행 시 충돌 방지)
• C:\ProgramData를 통해 전달되는 구성 (사용자 및 SYSTEM 컨텍스트 모두 접근 가능)
• 명령줄 인수를 통한 사용자 정의 페이로드 경로
• .NET Framework 4.8로 대상 변경
• 매니페스트 서명 요구 사항 제거
• 프로젝트 구조 단순화

빌드

csc /platform:x64 /optimize /out:runner.bin MiniRunner.cs
msbuild MiniPlasma.sln /p:Configuration=Release

참고: runner.bin을 먼저 컴파일해야 합니다. 빌드 중 메인 실행 파일에 포함됩니다.

사용법

execute-assembly MiniPlasma-Runner.exe C:\Path\To\payload.exe

인수가 없으면 기본적으로 conhost.exe가 사용됩니다.

요구 사항

• 대상 시스템에 Cloud Files 필터 드라이버가 있어야 함 (실행 중이지 않으면 sc start cldflt)
• 표준 사용자 컨텍스트 (로컬 권한 상승)
• 대상에 .NET Framework 4.8 설치

디스크 사용량

MiniRunner만 디스크에 약 5KB (C:\ProgramData 아래 임시 디렉터리에 wermgr.exe로) 기록됩니다. 실행 후 자동으로 정리됩니다. 메인 익스플로잇은 디스크에 기록되지 않습니다.

크레딧

• Nightmare-Eclipse - 원본 MiniPlasma PoC
• CVE-2020-17103 - Cloud Files abort hydration 임의 레지스트리 키 쓰기