TChopper

Nova técnica que descobri recentemente e apelidei de (Chop chop) para realizar movimento lateral usando nomes de exibição de serviços do Windows e WMI, contrabandeando o binário malicioso como chunks base64 e automatizando o processo com a ferramenta TChopper.

image

Como funciona

• a ferramenta irá pegar o arquivo que você deseja contrabandear e codificar o arquivo como base64 em um stream de memória
• dividir o comprimento de cada linha para caber em 150-250 caracteres (250 é o espaço máximo permitido para o parâmetro lpDisplayname do serviço https://docs.microsoft.com/en-us/windows/win32/api/winsvc/nf-winsvc-createservicea).
• para o ataque chop chop, ele criará um serviço único para cada chunk segmentado => iniciará o serviço => depois o excluirá para evitar duplicatas, ou você pode escolher apenas modificar o modo de ataque do serviço para ser mais rápido e estável selecionando a opção de modo de ataque (-m)
• posteriormente, ele modificará o parâmetro lpbinarypath do serviço com a linha de comando necessária para capturar o nome de exibição do serviço e redirecionar o resultado para tmp_payload.txt
• finalmente, após entregar todos os chunks do arquivo como base64, a ferramenta criará outro serviço para decodificar o conteúdo em um executável válido e executá-lo

enquanto se você estiver realizando movimento lateral usando a técnica WMI, também pode usar o Chopper para fazer isso

• Tchopper autenticará sua sessão usando WMI
• criação de múltiplos processos e uso de comando único do powershell para redirecionar cada segmento para c:\users\public\chop.enc