[!CAUTION] Este repositório não é mais mantido, visite https://github.com/sadreck/Spartacus para a versão mais recente.

Spartacus - Toolkit de DLL/COM Hijacking

Porquê "Spartacus"?

Se viste o filme Spartacus de 1960, lembrar-te-ás da cena em que os romanos pedem que Spartacus se entregue. No momento em que o verdadeiro Spartacus se levantou, muitos outros também se levantaram e afirmaram ser ele, usando a frase "EU SOU SPARTACUS".

Quando um processo vulnerável a DLL Hijacking pede que uma DLL seja carregada, é como se perguntasse "QUEM É VERSION.DLL?" e diretórios aleatórios começam a afirmar "EU SOU VERSION.DLL" e "NÃO, EU SOU VERSION.DLL". E assim, Spartacus.

Em que é que esta ferramenta é diferente de todas as outras ferramentas de hijacking existentes?

• Spartacus automatiza a maior parte do processo. Ele analisa logs crus do SysInternals Process Monitor, e podes deixar o ProcMon a correr durante horas e descobrir vulnerabilidades de DLL/COM hijacking de 2º e 3º nível (por exemplo, uma app que carrega outra DLL que, por sua vez, carrega outra DLL quando usas uma funcionalidade específica da app pai).
• Gera automaticamente soluções do Visual Studio para DLLs vulneráveis.
• Capaz de processar grandes ficheiros PML e armazenar todos os eventos de interesse num ficheiro CSV. Benchmark local processou um ficheiro de 3GB com 8 milhões de eventos em 45 segundos.
• Suporta a procura por vulnerabilidades de hijacking tanto de DLL como de COM.
• Suporta a geração de certificados auto-assinados e a assinatura de ficheiros DLL.
• Utilizando a funcionalidade Ghidra, extrai assinaturas de funções de exportação e executa o teu payload através de funções proxy individuais em vez de executar tudo a partir de DllMain. Esta técnica foi inspirada e implementada a partir do tutorial descrito em https://www.redteam.cafe/red-team/dll-sideloading/dll-sideloading-not-by-dllmain, por Shantanu Khandelwal.
• [Defesa] Modo de monitorização que tenta identificar aplicações em execução a fazer proxy de chamadas, como em "DLL Hijacking em andamento". Isto serve apenas para detetar frutos mais fáceis e não deve ser considerado fiável.

Índice

• Instalação
• Funcionalidades Suportadas
  • DLL Hijacking
    • Uso
  • COM Hijacking
    • Uso
  • Geração de Proxy DLL
    • Uso
  • Assinatura de Ficheiros DLL
    • Uso
  • Deteção de DLL Hijacking
• Argumentos da Linha de Comandos
• Contribuições
• Créditos

Instalação

Encontra e descarrega a versão mais recente do Spartacus em Releases. Caso contrário, clona simplesmente este repositório e compila a partir do código fonte.

Funcionalidades Suportadas

Abaixo está uma descrição de cada um dos modos que o Spartacus suporta.

Nota: Os argumentos da linha de comandos mudaram significativamente da v1 para a v2.

DLL Hijacking

A funcionalidade original do Spartacus era exclusivamente encontrar vulnerabilidades de DLL hijacking. A forma como funciona é:

1. Gera dinamicamente um ficheiro de configuração ProcMon (PMC), com base nos argumentos passados. Os filtros que serão definidos são:
   • A operação é CreateFile.
   • O caminho termina com .dll.
   • O nome do processo não é procmon.exe nem procmon64.exe.
   • Ativar "Drop Filtered Events" para garantir o tamanho mínimo do ficheiro PML.
   • Desativar "Auto Scroll".
2. Executa o Process Monitor e pára até que o utilizador prima ENTER.
3. O utilizador executa/termina processos, ou deixa o sistema a correr durante o tempo que desejar.
4. Termina o Process Monitor quando o utilizador prime ENTER.
5. Analisa o ficheiro de Event Log (PML) de saída.
   1. Cria um ficheiro CSV com todas as DLLs com NAME_NOT_FOUND e PATH_NOT_FOUND.
   2. Compara as DLLs acima e tenta identificar as DLLs que foram efetivamente carregadas.
   3. Para cada DLL "encontrada", gera uma solução Visual Studio para fazer proxy de todas as funções de exportação da DLL identificada.

Uso DLL Hijacking

Recolhe todos os eventos e guarda-os em C:\Data\logs.pml. Todas as DLLs vulneráveis serão guardadas como C:\Data\VulnerableDLLFiles.csv e todas as soluções de DLL proxy em C:\Data\Solutions.

--mode dll --procmon C:\SysInternals\Procmon.exe --pml C:\Data\logs.pml --csv C:\Data\VulnerableDLLFiles.csv --solution C:\Data\Solutions --verbose

Analisa um ficheiro PML existente, guarda a saída em CSV e gera soluções Visual Studio de proxy.

--mode dll --existing --pml C:\MyData\SomeBackup.pml --csv C:\Data\VulnerableDLLFiles.csv --solution C:\Data\Solutions --verbose

Screenshots

COM Hijacking

Uma nova funcionalidade do Spartacus é identificar vulnerabilidades de hijacking COM local. A forma como funciona é:

1. Gera dinamicamente um ficheiro de configuração ProcMon (PMC), com base nos argumentos passados. Os filtros que serão definidos são:
   • A operação é RegOpenKey.
   • O nome do processo não é procmon.exe nem procmon64.exe.
   • Ativar "Drop Filtered Events" para garantir o tamanho mínimo do ficheiro PML.
   • Desativar "Auto Scroll".
2. Executa o Process Monitor e pára até que o utilizador prima ENTER.
3. O utilizador executa/termina processos, ou deixa o sistema a correr durante o tempo que desejar.
4. Termina o Process Monitor quando o utilizador prime ENTER.
5. Analisa o ficheiro de Event Log (PML) de saída.
   1. Identifica todas as chaves de registo em falta que terminam em InprocServer32 e cujo resultado é NAME_NOT_FOUND.
   2. Se a chave identificada estiver em HKEY_CURRENT_USER, procura o seu GUID em HKEY_CLASSES_ROOT e inclui os seus detalhes no CSV de exportação (se encontrado).
   3. Cria um ficheiro CSV com toda a informação recolhida.
6. O Spartacus não cria automaticamente uma solução Visual Studio para COM hijacking, no entanto, se precisares de criar uma DLL proxy, podes usar o modo proxy.

Para COM hijacking, o Spartacus também suporta a análise do sistema local para entradas COM mal configuradas:

1. Enumera todas as chaves HKEY_CLASSES_ROOT, HKEY_CURRENT_USER e HKEY_LOCAL_MACHINE.
2. Procura chaves de registo chamadas InProcServer, InProcServer32, LocalServer ou LocalServer32.
3. Identifica quaisquer localizações de EXE/DLL em falta, juntamente com qualquer configuração incorreta de ACL, como a capacidade de Modificar ou Apagar o ficheiro pelo utilizador atual.

Uso COM Hijacking

Recolhe todos os eventos e guarda-os em C:\Data\logs.pml. Toda a informação vulnerável sobre COM será guardada como C:\Data\VulnerableCOM.csv.

--mode com --procmon C:\SysInternals\Procmon.exe --pml C:\Data\logs.pml --csv C:\Data\VulnerableCOM.csv --verbose

Processa um ficheiro PML existente para identificar entradas COM vulneráveis.

--mode com --existing --pml C:\Data\logs.pml --csv C:\Data\VulnerableCOM.csv --verbose

Enumera o registo do sistema local para identificar bibliotecas e executáveis COM em falta/mal configurados.