이 문서는 https://github.com/gabriellandau/PPLFault의 파생 작업물입니다.

모든 원본 연구 및 추가 정보는 해당 저장소를 참조하세요. 이 변환은 의도적으로 원본 도구 릴리스의 IOC를 수정하지 않습니다.

PPLFaultDumpBOF

원본 PPLFault와 원본에 포함된 DumpShellcode를 결합하여 Cobalt Strike를 대상으로 하는 BOF로 통합합니다.

다른 프로젝트에서 이 기능을 실행하려면 당사의 BOF 러너 구현 COFFLoader 사용을 고려하세요.

빌드

평소에는 mingw-w64를 사용하여 BOF를 빌드하는 것을 선호하지만, 이 익스플로잇이 작동하려면 최신 버전의 Windows 10이 필요하므로 cl.exe로 변환하여 컴파일하는 것이 더 쉬웠습니다.

x64 네이티브 Visual Studio 개발자 프롬프트를 시작해야 합니다. 그런 다음 해당 프롬프트에서 makebof.bat을 실행합니다.

코드 구성

이 코드의 구성은 원본과 거의 일치하지만, BOF 빌드에서는 사용되지 않으므로 원본 솔루션 파일은 제거되었습니다. BOF 진입점이며 다른 모든 .h / .c 파일이 포함되는 entry.c에서 시작하세요.

예제 출력

사용법

먼저 PPLFault.cna를 Cobalt Strike에 로드합니다. 그런 다음 아무 콘솔에서 pplfaultdump <pid> <outputpath>를 실행합니다.

라이선스

Silhouette에는 ELv2 라이선스가 적용됩니다. SystemInformer의 phnt를 MIT 라이선스에 따라 사용합니다.

크레딧

Clément Labro가 만든 PPLdump에서 영감을 받았으며, Microsoft는 2022년 7월에 이를 패치했습니다.

ANGRYORCHARD는 Austin Hudson이 만들었으며, Microsoft가 PPLdump를 패치했을 때 공개했습니다.

PPLFault 제작: Gabriel Landau, Elastic Security