COM Hunter

COM-Hunter

COM entführt VOODOO

COM-Hunter ist ein in C# geschriebenes COM-Hijacking-Persistenztool.

Dieses Tool wurde während des RTO-Kurses von @zeropointsecltd inspiriert

Merkmale

• Ermittelt gültige CLSIDs auf dem Computer des Opfers.
• Ermittelt gültige CLSIDs über den Taskplaner auf dem Computer des Opfers.
• Findet heraus, ob jemand bereits eine dieser gültigen CLSIDs verwendet hat, um COM-Persistenz durchzuführen (LocalServer32/InprocServer32).
• Findet heraus, ob jemand über den Taskplaner bereits eine gültige CLSID verwendet hat, um COM-Persistenz durchzuführen (LocalServer32/InprocServer32).
• Versucht, automatisch COM-Hijacking-Persistenz mit allgemein gültigen CLSIDs (LocalServer32/InprocServer32) durchzuführen.
• Versucht, die COM-Hijacking-Persistenz automatisch über den Taskplaner durchzuführen.
• Versucht, den Schlüssel „TreatAs“ zu verwenden, um auf eine andere Komponente zu verweisen.

Besonderer Dank

• @dimtsikopoulos
• @0xvm

Lizenz

Copyright (c) 2022 Nikos Vourdas

Unter dem

.NET Framework

4.8

Verwendung

 [+] Usage:

    .COM-Hunter.exe <mode> <options>

-> General Options:
    -h, --help  Shows help and exits.
    -v, --version   Shows current version and exits.
    -a, --about Shows info, credits about the tool and exits.

-> Modes:
    Search  Search Mode
    Persist Persist Mode

-> Search Mode:
    Get-Entry   Searches for valid CLSIDs entries.
    Get-Tasksch Searches for valid CLSIDs entries via Task Scheduler.
    Find-Persist Searches if someone already used a valid CLSID (Defence).
    Find-Tasksch Searches if someone already used a valid CLSID via Task Scheduler (Defence).

-> Persist Mode:
    General    Uses General method to apply COM Hijacking Persistence in Registry.
    Tasksch    Try to do COM Hijacking Persistence via Task Scheduler.
    TreatAs    Uses TreatAs Registry key to apply COM Hijacking Persistence in Registry.

-> General Usage:
    .COM-Hunter.exe Persist General <clsid> <full_path_of_evil_dll>

-> Tasksch Usage:
    .COM-Hunter.exe Persist Tasksch <full_path_of_evil_dll>

-> TreatAs Usage:
    .COM-Hunter.exe Persist TreatAs <clsid> <full_path_of_evil_dll>

Beispielverwendungen

• Get-Entry (Suchmodus):

   .COM-Hunter.exe Search Get-Entry
  

• Suchen-Behalten (Suchmodus):

   .COM-Hunter.exe Search Find-Persist
  

• Allgemein (Persistenzmodus):

   .COM-Hunter.exe Persist General 'HKCU:SoftwareClassesCLSID...' C:UsersnickvourdDesktopbeacon.dll
  

• Tasksch (Persist-Modus):

   .COM-Hunter.exe Persist Tasksch C:UsersnickvourdDesktopbeacon.dll
  

Beispielformat Gültige CLSIDs

 SoftwareClassesCLSID...

 HKCU:SoftwareClassesCLSID...

 HKCU:SoftwareClassesCLSID...

 HKCUSoftwareClassesCLSID...

 HKEY_CURRENT_USER:SoftwareClassesCLSID...

 HKEY_CURRENT_USER:SoftwareClassesCLSID...

 HKEY_CURRENT_USERSoftwareClassesCLSID...