COM Hunter

COMハンター

COMハイジャックVOODOO

COM-hunter は、C# で書かれた COM ハイジャック永続化ツールです。

このツールは、@zeropointsecltd の RTO コース中にインスピレーションを受けて誕生しました。

特徴

• 被害者のマシン内のエントリ有効な CLSID を見つけます。
• 被害者のマシンのタスク スケジューラを介して有効な CLSID を見つけます。
• 誰かが COM 永続化 (LocalServer32/InprocServer32) を行うためにこれらの有効な CLSID のいずれかを既に使用しているかどうかを調べます。
• 誰かが COM 永続化 (LocalServer32/InprocServer32) を行うためにタスク スケジューラ経由で有効な CLSID をすでに使用しているかどうかを調べます。
• 一般的な有効な CLSID (LocalServer32/InprocServer32) を使用して、COM ハイジャック永続化を自動的に実行しようとします。
• タスク スケジューラを介して COM ハイジャック永続化を自動的に実行しようとします。
• 別のコンポーネントを参照するために「TreatAs」キーを使用しようとします。

特別な感謝の気持ち

• @dimtsikopoulos
• @0xvm

ライセンス

著作権 (c) 2022 ニコス・ヴルダス

の下で

.NETフレームワーク

4.8

使用法

 [+] Usage:

    .COM-Hunter.exe <mode> <options>

-> General Options:
    -h, --help  Shows help and exits.
    -v, --version   Shows current version and exits.
    -a, --about Shows info, credits about the tool and exits.

-> Modes:
    Search  Search Mode
    Persist Persist Mode

-> Search Mode:
    Get-Entry   Searches for valid CLSIDs entries.
    Get-Tasksch Searches for valid CLSIDs entries via Task Scheduler.
    Find-Persist Searches if someone already used a valid CLSID (Defence).
    Find-Tasksch Searches if someone already used a valid CLSID via Task Scheduler (Defence).

-> Persist Mode:
    General    Uses General method to apply COM Hijacking Persistence in Registry.
    Tasksch    Try to do COM Hijacking Persistence via Task Scheduler.
    TreatAs    Uses TreatAs Registry key to apply COM Hijacking Persistence in Registry.

-> General Usage:
    .COM-Hunter.exe Persist General <clsid> <full_path_of_evil_dll>

-> Tasksch Usage:
    .COM-Hunter.exe Persist Tasksch <full_path_of_evil_dll>

-> TreatAs Usage:
    .COM-Hunter.exe Persist TreatAs <clsid> <full_path_of_evil_dll>

使用例

• Get-Entry (検索モード):

   .COM-Hunter.exe Search Get-Entry
  

• Find-Persist (検索モード):

   .COM-Hunter.exe Search Find-Persist
  

• 一般 (永続モード):

   .COM-Hunter.exe Persist General 'HKCU:SoftwareClassesCLSID...' C:UsersnickvourdDesktopbeacon.dll
  

• タスク (永続モード):

   .COM-Hunter.exe Persist Tasksch C:UsersnickvourdDesktopbeacon.dll
  

有効な CLSID の形式の例

 SoftwareClassesCLSID...

 HKCU:SoftwareClassesCLSID...

 HKCU:SoftwareClassesCLSID...

 HKCUSoftwareClassesCLSID...

 HKEY_CURRENT_USER:SoftwareClassesCLSID...

 HKEY_CURRENT_USER:SoftwareClassesCLSID...

 HKEY_CURRENT_USERSoftwareClassesCLSID...