Maldev Academy

Início da Maldev Academy

Programa de Estudos da Maldev Academy

Christmas

Implementação de um método de injeção mencionado por @Hexacorn.

Este PoC cria múltiplos processos, onde cada processo executa uma tarefa específica como parte da operação de injeção. Cada processo filho cria outro processo e passa as informações necessárias através da linha de comando. O programa segue os passos abaixo:

1. O primeiro processo filho cria o processo alvo onde o payload será injetado. O handle é herdado por todos os processos filhos subsequentes.
2. O segundo processo filho aloca memória no processo alvo.
3. O terceiro processo filho altera as permissões da memória previamente alocada para RWX.
4. Em seguida, para cada 1024 bytes do payload, um processo é criado para escrever esses bytes.
5. Por fim, outro processo é responsável pela execução do payload.

O PoC utiliza o algoritmo de criptografia RC4 para criptografar um payload Havoc Demon. O programa ChristmasPayloadEnc.exe será responsável por criptografar o payload e fazer o padding dele para que seja múltiplo de 1024 (conforme exigido pela lógica de injeção).

Demonstração: Contornando o MDE usando o payload Demon do Havoc