TeamsImplant

이 프로젝트는 Teams가 사용하는 urlmon.dll을 프록시하는 은밀한 Teams 임플란트입니다. 이 DLL을 컴파일하여 Teams 디렉토리에 urlmon.dll로 넣어두면, 사용자가 Teams를 실행하거나 시작 시 Teams가 실행될 때마다 지속성 백도어를 얻을 수 있습니다.

Features:

• 뮤텍스: Teams가 10개의 다른 Teams 프로세스를 생성하고 각각에 프록시 DLL을 로드할 때 10개의 셸이 스팸처럼 열리지 않도록 방지합니다.
• DLL 언후킹을 수행하여 일반적인 셸코드 인젝션 함수를 걱정 없이 호출할 수 있습니다.
• 셸코드에 AES 암호화를 사용하여 탐지되지 않고 임플란트에 셸코드를 내장할 수 있습니다.
• Metasploit을 사용하여 exitfunc=thread로 셸코드를 생성하여 Meterpreter 세션을 종료해도 Teams 프로세스가 종료되지 않도록 합니다.

작동 방식의 예시는 아래 비디오를 참조하십시오:

https://user-images.githubusercontent.com/41178870/155579560-088ee7dc-d1e9-41e2-a760-1520b478bd9e.mp4