COM Hunter

COM-Chasseur

COM Détournement VAUDOU

COM-hunter est un outil de persistance COM Hijacking écrit en C#.

Cet outil a été inspiré lors du cours RTO de @zeropointsecltd

Caractéristiques

• Trouve les CLSID valides d’entrée sur la machine de la victime.
• Détecte les CLSID valides via le Planificateur de tâches sur la machine de la victime.
• Détermine si quelqu'un a déjà utilisé l'un de ces CLSID valides afin d'effectuer la persistance COM (LocalServer32/InprocServer32).
• Détermine si quelqu'un a déjà utilisé un CLSID valide via le Planificateur de tâches afin d'effectuer la persistance COM (LocalServer32/InprocServer32).
• Essaie d'effectuer automatiquement la persistance du détournement de COM avec des CLSID généralement valides (LocalServer32/InprocServer32).
• Essaie d’effectuer automatiquement la persistance du détournement de COM via le Planificateur de tâches.
• Essaie d'utiliser la clé "TreatAs" afin de faire référence à un composant différent.

Remerciements spéciaux

• @dimtsikopoulos
• @0xvm

Licence

Copyright (c) 2022 Nikos Vourdas

Sous le

Cadre .NET

4.8

Usage

 [+] Usage:

    .COM-Hunter.exe <mode> <options>

-> General Options:
    -h, --help  Shows help and exits.
    -v, --version   Shows current version and exits.
    -a, --about Shows info, credits about the tool and exits.

-> Modes:
    Search  Search Mode
    Persist Persist Mode

-> Search Mode:
    Get-Entry   Searches for valid CLSIDs entries.
    Get-Tasksch Searches for valid CLSIDs entries via Task Scheduler.
    Find-Persist Searches if someone already used a valid CLSID (Defence).
    Find-Tasksch Searches if someone already used a valid CLSID via Task Scheduler (Defence).

-> Persist Mode:
    General    Uses General method to apply COM Hijacking Persistence in Registry.
    Tasksch    Try to do COM Hijacking Persistence via Task Scheduler.
    TreatAs    Uses TreatAs Registry key to apply COM Hijacking Persistence in Registry.

-> General Usage:
    .COM-Hunter.exe Persist General <clsid> <full_path_of_evil_dll>

-> Tasksch Usage:
    .COM-Hunter.exe Persist Tasksch <full_path_of_evil_dll>

-> TreatAs Usage:
    .COM-Hunter.exe Persist TreatAs <clsid> <full_path_of_evil_dll>

Exemples d'utilisation

• Get-Entry (mode de recherche) :

   .COM-Hunter.exe Search Get-Entry
  

• Rechercher-Persister (mode de recherche) :

   .COM-Hunter.exe Search Find-Persist
  

• Général (mode persistance) :

   .COM-Hunter.exe Persist General 'HKCU:SoftwareClassesCLSID...' C:UsersnickvourdDesktopbeacon.dll
  

• Tasksch (mode persistant) :

   .COM-Hunter.exe Persist Tasksch C:UsersnickvourdDesktopbeacon.dll
  

Exemple de format de CLSID valides

 SoftwareClassesCLSID...

 HKCU:SoftwareClassesCLSID...

 HKCU:SoftwareClassesCLSID...

 HKCUSoftwareClassesCLSID...

 HKEY_CURRENT_USER:SoftwareClassesCLSID...

 HKEY_CURRENT_USER:SoftwareClassesCLSID...

 HKEY_CURRENT_USERSoftwareClassesCLSID...