trustme

BOF для олицетворения TrustedInstaller через вызов DISM API и олицетворение потока.

Что это делает

Повышает привилегии Cobalt Strike Beacon из контекста администратора до NT AUTHORITY\SYSTEM с SID NT SERVICE\TrustedInstaller в группах токена. Это дает возможность изменять файлы, записи реестра и другие объекты, принадлежащие TrustedInstaller (т.е. то, для чего простого SYSTEM может быть недостаточно).

Как это работает

Большинство публичных подходов к получению прав TrustedInstaller запускают службу TrustedInstaller напрямую через Service Control Manager (например, sc start TrustedInstaller или StartServiceW). Это работает, но взаимодействие с SCM хорошо известно защитникам и обычно логируется.

trustme использует другой подход:

1. Загружает dismapi.dll и запускает проверку работоспособности DISM. DISM API (DismCheckImageHealth) внутри вызывает запуск TrustedInstaller.exe как побочный эффект операций стека обслуживания. Сессия DISM остается открытой, чтобы TrustedInstaller не завершился, прежде чем мы сможем его использовать.

2. Обходит список процессов с помощью NtGetNextProcess. Вместо OpenProcess или CreateToolhelp32Snapshot мы перечисляем дескрипторы процессов косвенно через NtGetNextProcess и сопоставляем по имени образа через NtQueryInformationProcess(ProcessImageFileName).

3. Олицетворяет поток TrustedInstaller через NtImpersonateThread. Аналогично, мы обходим потоки с помощью NtGetNextThread, а не открываем их по TID. Как только мы находим подходящий поток, мы олицетворяем его и регистрируем полученный токен в Beacon через BeaconUseToken.

Требования

• Повышенный (admin) Beacon
• SeDebugPrivilege должен быть доступен в токене (по умолчанию он есть у административных учетных записей, BOF включает его автоматически)
• x64 Beacon (x86 должен работать, но не тестировался)

Сборка

Вам понадобится beacon.h из репозитория Cobalt Strike bof_template в той же директории, что и trustme.c.

MinGW (Linux/macOS):

x86_64-w64-mingw32-gcc -c trustme.c -o trustme.x64.o -masm=intel -Wall

MSVC (Windows, from x64 Native Tools prompt):

cl.exe /c /GS- /Fo"trustme.x64.o" trustme.c

Использование

1. Поместите trustme.x64.o (и/или trustme.x86.o) в ту же директорию, что и trustme.cna
2. Загрузите trustme.cna в Cobalt Strike через Script Manager
3. Из повышенного Beacon:

beacon> trustme
[+] SeDebugPrivilege enabled
[*] DISM health check complete, TrustedInstaller should be running
[*] Found TrustedInstaller.exe (PID: 31337)
[+] Thread impersonation successful (identity: SYSTEM)
[+] Token applied to Beacon session
[+] Now running as TrustedInstaller. Use 'rev2self' to revert.

4. Проверка:

beacon> shell whoami /groups | findstr TrustedInstaller
NT SERVICE\TrustedInstaller  Well-known group  S-1-5-80-956008885-...  Enabled by default, Enabled group, Group owner

5. Отмена по завершении:

beacon> rev2self