PoC-репликация шифровальщика RobinHood с использованием Aorus Gigabyte v1.34

Описание

Данный эксплойт сначала получает дескриптор драйвера Gigabyte и использует код IOCTL для выделения памяти и размещения нашего шелл-кода в памяти ядра. Сам шелл-код выполняет цикл по структурам EPROCESS, чтобы найти токен, связанный с процессом "system", и передать этот токен нашему текущему cmd. С этого момента все базовые механизмы безопасности отключены. Затем драйвер mimikatz скачивается и загружается в систему. С этого момента Windows Defender полностью остановлен, чтобы зашифровать все файлы, присутствующие на рабочем столе.

Использование

После сборки проекта необходимо использовать исполняемый файл InjectRSA, чтобы встроить ваш открытый ключ в исполняемый файл эксплойта. Затем вы просто запускаете эксплойт RobbinHood.exe.

InjectRSA.exe pub.key RobbinHood.exe
RobbinHood.exe

Методы обфускации

Данный эксплойт не имеет встроенной обфускации; можно применить обфускацию на этапе компиляции, установив [проект Obfuscator-LLVM] (https://github.com/heroims/obfuscator). Следующие директивы компиляции с обфускацией были протестированы и одобрены:

-D__CUDACC__ -D_ALLOW_COMPILER_AND_STL_VERSION_MISMATCH -mllvm -bcf -mllvm -bcf_prob=100 -mllvm -bcf_loop=3 
-mllvm -sub -mllvm -sub_loop=2 -mllvm -fla -mllvm -split_num=10 -mllvm -aesSeed=DEADBEEFDEADBEEFDEADBEEFDEADBEEF

Техническая информация

Уязвимый драйвер: Gigabyte AORUS Graphics Engine v1.34

Необходимый пакет для драйвера: Visual C++ Redistribuable 2012 x86

Разработано в Visual Studio 2013 Community

Протестировано на: Windows 8.1 x64 6.3.9600

Благодарности

[Ruben Santamarta : Exploiting Common Flaw in Drivers (2007)]
[CVE-2018-19320-LPE] (https://github.com/hmnthabit/CVE-2018-19320-LPE)
[DisableSVC] (https://github.com/rbmm/DisableSvc)

RobbinHood-attack

Популярное