TChopper

Недавно я обнаружил новый метод и дал ему прозвище (Chop chop) для выполнения горизонтального перемещения с использованием отображаемых имен служб Windows и WMI путем скрытной передачи вредоносного двоичного файла в виде блоков base64 и автоматизации процесса с помощью инструмента TChopper.

изображение

Как это работает

• инструмент получит файл, который вы хотите скрытно передать, и закодирует его в base64 в поток памяти
• разделит длину каждой строки так, чтобы она помещалась в 150-250 символов (250 — максимально допустимая длина для параметра lpDisplayname службы https://docs.microsoft.com/en-us/windows/win32/api/winsvc/nf-winsvc-createservicea).
• для атаки chop chop он создаст уникальную службу для каждого сегментированного фрагмента => запустит службу => затем удалит ее, чтобы избежать дублирования, или вы можете выбрать режим атаки только с изменением службы, чтобы сделать его более быстрым и стабильным, выбрав опцию режима атаки (-m)
• затем он изменит параметр lpbinarypath службы, указав необходимую командную строку, чтобы получить отображаемое имя службы и перенаправить результаты в tmp_payload.txt
• наконец, после завершения доставки всех фрагментов файла в виде base64, инструмент создаст еще одну службу для декодирования содержимого в исполняемый файл и запустит его

Если же вы осуществляете горизонтальное перемещение с помощью техники WMI, вы также можете использовать Chopper для этого:

• Tchopper аутентифицирует вашу сессию с помощью WMI
• создает несколько процессов и использует уникальную команду PowerShell для перенаправления каждого сегмента в c:\users\public\chop.enc