Com o CLSID, a aplicação DCOM associada a ele pode ser ativada. O CLSID 'Shortcut' é usado para contar a quantidade de MemberTypes associados a ele, com o objetivo de verificar a quantidade padrão de MemberTypes. Esse número é usado para verificar os CLSIDs que possuem algo diferente dessa quantidade. O script faz isso com o CLSID do 'Shortcut' (HKEY_CLASSES_ROOT\CLSID\{00021401-0000-0000-C000-000000000046}) porque este é um CLSID compartilhado entre os sistemas operacionais Microsoft Windows. Os CLSIDs com uma quantidade diferente de MemberTypes podem conter um Method ou Property que pode ser (ab)usado, e serão adicionados a um array.

Os CLSIDs no array são verificados quanto a strings nos MemberTypes que possam indicar uma maneira de (ab)usá-lo; essa lista de strings pode ser encontrada no arquivo VulnerableSubset. Observe que esta lista não é, de forma alguma, uma lista completa para encontrar todas as aplicações DCOM vulneráveis, mas, sendo uma parte dinâmica do processo, deve fornecer ao usuário do script uma maneira de procurar strings específicas que possam indicar uma funcionalidade de uma aplicação DCOM que seja útil para seu propósito.

Os resultados do script são exibidos em um relatório HTML e devem ser utilizáveis para auditoria de um sistema como medida preventiva. Para o lado ofensivo, criei um módulo Empire que, no momento da redação deste texto, aguarda aprovação para ser adicionado ao branch master. Se você quiser adicioná-lo ao Empire manualmente, pode fazê-lo adicionando o módulo localizado aqui.

Para uma explicação técnica completa da ideia, do script e de possíveis métodos de detecção, você pode ler o artigo de pesquisa associado.

Pré-requisitos

O script, quando não usado como módulo Empire, possui algumas limitações devido à diferença no seu funcionamento e na forma como se conecta à máquina alvo.

• Para que este script funcione, os serviços de Gerenciamento Remoto do Windows precisam estar liberados no Firewall do Windows (5985);
• Se o perfil de rede do sistema alvo estiver definido como Público, o seguinte comando precisa ser executado para permitir que os serviços de Gerenciamento Remoto do Windows sejam utilizados no sistema alvo: Enable-PSRemoting -SkipNetworkProfileCheck -Force
• Este script funciona apenas quando se possui as credenciais de um Administrador local no sistema alvo. Sem essas credenciais, não será possível iniciar uma sessão remota com a máquina alvo, nem ativar aplicações DCOM.

Exemplo de uso

Quando em um domínio Microsoft Windows:

Quando não estiver em um domínio Microsoft Windows:

Limitações

• Atualmente, o script tenta liberar quaisquer aplicações DCOM instanciadas/ativadas, mas algumas ativações iniciam novos processos (como o Internet Explorer); o processo poderia ser interrompido, mas isso significaria que, se um usuário no sistema alvo estiver usando essa aplicação específica, o processo será interrompido para ele também;
• Outro ponto, que provavelmente se deve às minhas habilidades de programação limitadas, é que o script pode introduzir uma carga considerável no sistema alvo se ele não tiver muitos recursos. Seja cauteloso ao usar isso em um ambiente de produção ou em servidores;
• O script pode levar algum tempo para ser executado completamente; isso depende da quantidade de aplicações DCOM e do tamanho do arquivo de subconjunto vulnerável.

Agradecimentos

Este script foi inspirado por um workshop de movimento lateral via DCOM ministrado por Eva Tanaskoska; sem esse workshop, a ideia de tentar enumerar isso de forma automatizada jamais teria surgido.

Graças à pesquisa de Matt Nelson (também conhecido como @enigma0x3), consegui informações suficientes para criar uma forma de automatização.

O artigo de Philip Tsukerman, que resume a maioria das técnicas DCOM disponíveis para movimento lateral e explica como elas funcionam.