COM Hunter

COM-Охотник

COM перехват ВУДУ

COM-hunter — это инструмент для персистентного взлома COM, написанный на C#.

Этот инструмент был вдохновлен курсом RTO @zeropointsecltd.

Функции

• Находит действительные CLSID записей на компьютере жертвы.
• Определяет действительные CLSID через планировщик задач на компьютере жертвы.
• Выясняет, использовал ли кто-нибудь какой-либо из этих допустимых CLSID для сохранения COM (LocalServer32/InprocServer32).
• Выясняет, использовал ли кто-либо какой-либо действительный CLSID через планировщик задач для сохранения COM (LocalServer32/InprocServer32).
• Пытается автоматически выполнить сохранение перехвата COM с общими действительными CLSID (LocalServer32/InprocServer32).
• Пытается автоматически выполнить сохранение перехвата COM через планировщик задач.
• Пытается использовать ключ «TreatAs» для ссылки на другой компонент.

Особая благодарность

• @dimtsikopoulos
• @0xvm

Лицензия

Copyright (c) 2022 Никос Вурдас

Под

.NET Framework

4,8

Использование

 [+] Usage:

    .COM-Hunter.exe <mode> <options>

-> General Options:
    -h, --help  Shows help and exits.
    -v, --version   Shows current version and exits.
    -a, --about Shows info, credits about the tool and exits.

-> Modes:
    Search  Search Mode
    Persist Persist Mode

-> Search Mode:
    Get-Entry   Searches for valid CLSIDs entries.
    Get-Tasksch Searches for valid CLSIDs entries via Task Scheduler.
    Find-Persist Searches if someone already used a valid CLSID (Defence).
    Find-Tasksch Searches if someone already used a valid CLSID via Task Scheduler (Defence).

-> Persist Mode:
    General    Uses General method to apply COM Hijacking Persistence in Registry.
    Tasksch    Try to do COM Hijacking Persistence via Task Scheduler.
    TreatAs    Uses TreatAs Registry key to apply COM Hijacking Persistence in Registry.

-> General Usage:
    .COM-Hunter.exe Persist General <clsid> <full_path_of_evil_dll>

-> Tasksch Usage:
    .COM-Hunter.exe Persist Tasksch <full_path_of_evil_dll>

-> TreatAs Usage:
    .COM-Hunter.exe Persist TreatAs <clsid> <full_path_of_evil_dll>

Примеры использования

• Get-Entry (режим поиска):

   .COM-Hunter.exe Search Get-Entry
  

• Find-Persist (режим поиска):

   .COM-Hunter.exe Search Find-Persist
  

• Общие (режим сохранения):

   .COM-Hunter.exe Persist General 'HKCU:SoftwareClassesCLSID...' C:UsersnickvourdDesktopbeacon.dll
  

• Tasksch (режим сохранения):

   .COM-Hunter.exe Persist Tasksch C:UsersnickvourdDesktopbeacon.dll
  

Пример формата допустимых CLSID

 SoftwareClassesCLSID...

 HKCU:SoftwareClassesCLSID...

 HKCU:SoftwareClassesCLSID...

 HKCUSoftwareClassesCLSID...

 HKEY_CURRENT_USER:SoftwareClassesCLSID...

 HKEY_CURRENT_USER:SoftwareClassesCLSID...

 HKEY_CURRENT_USERSoftwareClassesCLSID...