COM Hunter

COM-Hunter

COM seqüestrando VOODOO

COM-hunter é uma ferramenta de persistência de COM Hijacking escrita em C#.

Esta ferramenta foi inspirada durante o curso RTO do @zeropointsecltd

Características

• Descobre a entrada de CLSIDs válidos na máquina da vítima.
• Descobre CLSIDs válidos por meio do Agendador de Tarefas na máquina da vítima.
• Descobre se alguém já usou algum desses CLSIDs válidos para fazer persistência COM (LocalServer32/InprocServer32).
• Descobre se alguém já utilizou algum CLSID válido via Agendador de Tarefas para fazer persistência COM (LocalServer32/InprocServer32).
• Tenta fazer automaticamente a persistência de sequestro de COM com CLSIDs válidos gerais (LocalServer32/InprocServer32).
• Tenta fazer automaticamente a persistência de sequestro de COM por meio do Agendador de tarefas.
• Tenta usar a chave "TreatAs" para se referir a um componente diferente.

Agradecimentos especiais

• @dimtsikopoulos
• @0xvm

Licença

Copyright (c) 2022 Nikos Vourdas

Sob o

Estrutura .NET

4.8

Uso

 [+] Usage:

    .COM-Hunter.exe <mode> <options>

-> General Options:
    -h, --help  Shows help and exits.
    -v, --version   Shows current version and exits.
    -a, --about Shows info, credits about the tool and exits.

-> Modes:
    Search  Search Mode
    Persist Persist Mode

-> Search Mode:
    Get-Entry   Searches for valid CLSIDs entries.
    Get-Tasksch Searches for valid CLSIDs entries via Task Scheduler.
    Find-Persist Searches if someone already used a valid CLSID (Defence).
    Find-Tasksch Searches if someone already used a valid CLSID via Task Scheduler (Defence).

-> Persist Mode:
    General    Uses General method to apply COM Hijacking Persistence in Registry.
    Tasksch    Try to do COM Hijacking Persistence via Task Scheduler.
    TreatAs    Uses TreatAs Registry key to apply COM Hijacking Persistence in Registry.

-> General Usage:
    .COM-Hunter.exe Persist General <clsid> <full_path_of_evil_dll>

-> Tasksch Usage:
    .COM-Hunter.exe Persist Tasksch <full_path_of_evil_dll>

-> TreatAs Usage:
    .COM-Hunter.exe Persist TreatAs <clsid> <full_path_of_evil_dll>

Exemplos de usos

• Get-Entry (modo de pesquisa):

   .COM-Hunter.exe Search Get-Entry
  

• Encontrar-Persistir (modo de pesquisa):

   .COM-Hunter.exe Search Find-Persist
  

• Geral (Modo Persistir):

   .COM-Hunter.exe Persist General 'HKCU:SoftwareClassesCLSID...' C:UsersnickvourdDesktopbeacon.dll
  

• Tasksch (modo persistente):

   .COM-Hunter.exe Persist Tasksch C:UsersnickvourdDesktopbeacon.dll
  

Exemplo de formato de CLSIDs válidos

 SoftwareClassesCLSID...

 HKCU:SoftwareClassesCLSID...

 HKCU:SoftwareClassesCLSID...

 HKCUSoftwareClassesCLSID...

 HKEY_CURRENT_USER:SoftwareClassesCLSID...

 HKEY_CURRENT_USER:SoftwareClassesCLSID...

 HKEY_CURRENT_USERSoftwareClassesCLSID...