MiniPlasma-Runner

Versão modificada de Nightmare-Eclipse/MiniPlasma (CVE-2020-17103) adaptada para uso C2.

O PoC original é executado apenas a partir do disco. Esta versão é executada inteiramente da memória via execute-assembly, com uma abordagem de binário dividido para evitar detecção.

Aviso Legal

Esta ferramenta é fornecida apenas para fins de teste de segurança autorizados e educacionais. O uso desta ferramenta contra sistemas sem permissão explícita por escrito é ilegal e antiético. O autor não assume qualquer responsabilidade por uso indevido ou danos causados por esta ferramenta. Sempre obtenha a devida autorização antes de realizar qualquer teste de segurança.

O que mudou

• Refatorado estágios multi-processo para execução encadeada em processo único (não mais auto-relançamento via Assembly.Location)
• Removidas chamadas Environment.Exit() que matam o processo hospedeiro
• Dividido em dois binários: exploit principal (executado na memória) + MiniRunner (pequeno callback SYSTEM descartado no disco brevemente)
• MiniRunner é incorporado como um recurso .NET e extraído em tempo de execução
• Pipe nomeado único por execução (sem mais colisões de pipe em execuções repetidas)
• Config passado via C:\ProgramData (acessível tanto por contexto de usuário quanto SYSTEM)
• Caminho personalizado do payload via argumento de linha de comando
• Redirecionado para .NET Framework 4.8
• Removida exigência de assinatura de manifesto
• Estrutura do projeto simplificada

Compilação

csc /platform:x64 /optimize /out:runner.bin MiniRunner.cs
msbuild MiniPlasma.sln /p:Configuration=Release

NOTA: runner.bin deve ser compilado primeiro - ele é incorporado ao executável principal durante a compilação.

Uso

execute-assembly MiniPlasma-Runner.exe C:\Path\To\payload.exe

Sem argumentos, o padrão é conhost.exe.

Requisitos

• O alvo deve ter o driver de filtro Cloud Files disponível (sc start cldflt se não estiver em execução)
• Contexto de usuário padrão (isso é uma escalada de privilégio local)
• .NET Framework 4.8 no alvo

Pegada de Disco

Apenas o MiniRunner toca no disco (~5KB) como wermgr.exe dentro de um diretório temporário em C:\ProgramData. Limpo automaticamente após a execução. O exploit principal nunca toca no disco.

Créditos

• Nightmare-Eclipse - PoC original do MiniPlasma
• CVE-2020-17103 - Escrita arbitrária de chave de registro por aborto de hidratação do Cloud Files