TChopper

Nova técnica que descobri recentemente e apelidei de (Chop chop) para realizar movimento lateral usando nomes de exibição de serviços do Windows e WMI, contrabandeando o binário malicioso como chunks base64 e automatizando o processo com a ferramenta TChopper.

image

Como funciona

• a ferramenta irá pegar o arquivo que você deseja contrabandear e codificar o arquivo como base64 em um stream de memória
• dividir o comprimento de cada linha para caber em 150-250 caracteres (250 é o espaço máximo permitido para o parâmetro lpDisplayname do serviço https://docs.microsoft.com/en-us/windows/win32/api/winsvc/nf-winsvc-createservicea).
• para o ataque chop chop, ele criará um serviço único para cada chunk segmentado => iniciará o serviço => depois o excluirá para evitar duplicatas, ou você pode escolher apenas modificar o modo de ataque do serviço para ser mais rápido e estável selecionando a opção de modo de ataque (-m)
• posteriormente, ele modificará o parâmetro lpbinarypath do serviço com a linha de comando necessária para capturar o nome de exibição do serviço e redirecionar o resultado para tmp_payload.txt
• finalmente, após entregar todos os chunks do arquivo como base64, a ferramenta criará outro serviço para decodificar o conteúdo em um executável válido e executá-lo

enquanto se você estiver realizando movimento lateral usando a técnica WMI, também pode usar o Chopper para fazer isso

• Tchopper autenticará sua sessão usando WMI
• criação de múltiplos processos e uso de comando único do powershell para redirecionar cada segmento para c:\users\public\chop.enc
• criar processo final para usar o certutil para decodificar o conteúdo em binário e executá-lo

image

Uso

# modo chop chop 
chopper.exe -s -u USUARIO -p SENHA -d DOMINIO -f CAMINHOBINARIO LOCAL

# chop chop feito 
chopper.exe -m -u USUARIO -p SENHA -d DOMINIO -f CAMINHOBINARIO LOCAL

# usar WMI para contrabandear 
chopper.exe -w -u DOMINIO\USUARIO -p SENHA -t MAQUINA -f CAMINHOBINARIOLOCAL

https://youtu.be/xbvhzHul7w0

Pesquisa detalhada

http://0xsp.com/security%20research%20&%20development%20(SRD)/smuggling-via-windows-services-display-name-lateral-movement

Mostre seu apoio

Eu crio ferramentas ofensivas para a comunidade de código aberto, mostre seu apoio https://paypal.me/0xsp