TeamsImplant

Этот проект представляет собой скрытый имплант для Teams, который действует как прокси для urlmon.dll, используемой Teams. Скомпилируйте и поместите этот файл в директорию Teams под именем urlmon.dll — и у вас появится постоянный бэкдор, который будет активироваться при каждом запуске Teams пользователем или при старте системы.

Возможности:

• Мьютекс, чтобы вас не завалило 10 шеллами, когда Teams создает 10 разных процессов и загружает прокси-библиотеку в каждый из них.
• Выполняет открепление (Unhooking) DLL, чтобы мы могли без опасений вызывать обычные функции внедрения шеллкода.
• Использует AES-шифрование шеллкода, чтобы мы могли внедрить шеллкод в наш имплант без обнаружения.
• Использовал Metasploit для генерации шеллкода с exitfunc=thread, чтобы не убивать процесс Teams при выходе из сессии Meterpreter.

Пример работы смотрите на видео ниже:

https://user-images.githubusercontent.com/41178870/155579560-088ee7dc-d1e9-41e2-a760-1520b478bd9e.mp4