WMEye

WMEye — это экспериментальный инструмент, разработанный в процессе изучения Windows WMI. Инструмент предназначен для выполнения бокового перемещения (Lateral Movement) с использованием WMI и удаленного выполнения MSBuild. Он загружает закодированный/зашифрованный шеллкод в свойство WMI-класса на удаленной машине, создает фильтр событий, который при срабатывании записывает полезную нагрузку на основе MSBuild с помощью специального WMI-класса LogFileEventConsumer, и, наконец, удаленно выполняет эту нагрузку.

Вариант использования

Безфайловое боковое перемещение с помощью WMI может использоваться с Execute-Assembly от Cobalt Strike.

Примечание: Инструмент все еще находится на экспериментальной стадии и не готов к использованию в реальных проектах.

Предпросмотр

Текущий функционал

• Создает удаленный WMI-класс
• Записывает шеллкод в качестве значения свойства в созданный выше фиктивный WMI-класс
• Создает фильтр событий WMI для срабатывания при создании процесса powershell.exe
• При срабатывании события загружает полезную нагрузку MSBuild в удаленную систему с помощью LogFileEventConsumer (тип потребителя WMI для записи лог-файлов)
• Наконец, вызывает Win32_Process Create для удаленного запуска MSBuild