MiniPlasma-Runner

Модифицированная версия Nightmare-Eclipse/MiniPlasma (CVE-2020-17103), адаптированная для использования в C2.

Оригинальный PoC работает только с диска. Эта версия работает полностью из памяти через execute-assembly, с подходом разделения бинарников для избежания обнаружения.

Отказ от ответственности

Этот инструмент предоставляется только для авторизованного тестирования безопасности и образовательных целей. Использование данного инструмента против систем без явного письменного разрешения является незаконным и неэтичным. Автор не несёт ответственности за неправомерное использование или ущерб, причинённый этим инструментом. Всегда получайте надлежащее разрешение перед проведением любого тестирования безопасности.

Что изменилось

• Разделение многоэтапных процессов переработано в однопроцессное многопоточное выполнение (больше нет самозапуска через Assembly.Location)
• Удалены вызовы Environment.Exit(), которые убивают хост-процесс
• Разделение на два бинарника: основной эксплойт (работает в памяти) + MiniRunner (крошечный обратный вызов SYSTEM, кратковременно записываемый на диск)
• MiniRunner встроен как ресурс .NET и извлекается во время выполнения
• Уникальный именованный канал для каждого запуска (больше нет коллизий каналов при повторном выполнении)
• Конфигурация передаётся через C:\ProgramData (доступна как из пользовательского, так и из контекста SYSTEM)
• Путь к полезной нагрузке задаётся через аргумент командной строки
• Переориентирован на .NET Framework 4.8
• Удалено требование подписи манифеста
• Упрощена структура проекта

Сборка

csc /platform:x64 /optimize /out:runner.bin MiniRunner.cs
msbuild MiniPlasma.sln /p:Configuration=Release

ПРИМЕЧАНИЕ: runner.bin должен быть скомпилирован первым — он встраивается в основной исполняемый файл во время сборки.

Использование

execute-assembly MiniPlasma-Runner.exe C:\Path\To\payload.exe

Без аргументов по умолчанию используется conhost.exe.

Требования

• Целевая система должна иметь доступный драйвер фильтра Cloud Files (sc start cldflt, если он не запущен)
• Контекст обычного пользователя (это локальное повышение привилегий)
• .NET Framework 4.8 на целевой системе

След на диске

Только MiniRunner касается диска (~5 КБ) как wermgr.exe во временной папке в C:\ProgramData. Автоматически удаляется после выполнения. Основной эксплойт никогда не затрагивает диск.

Благодарности

• Nightmare-Eclipse — оригинальный PoC MiniPlasma
• CVE-2020-17103 — прерывание гидратации Cloud Files, запись произвольного ключа реестра