| Softwaregeek

De Windows Update-client is zojuist toegevoegd aan de lijst met LoLBins Living-off-the-Land Binaries die aanvallers kunnen gebruiken om kwaadaardige code op Windows-systemen uit te voeren. LoLBins zijn door Microsoft ondertekende uitvoerbare bestanden, vooraf geïnstalleerd of gedownload die kunnen worden misbruikt door bedreigingsactoren om detectie te omzeilen tijdens het downloaden, installeren of uitvoeren van schadelijke code.

Ze kunnen ook worden gebruikt door aanvallers bij hun pogingen om Windows User Account Control (UAC) of Windows Defender Application Control (WDAC) te omzeilen en om persistentie te verkrijgen op reeds gecompromitteerde systemen.

Uitvoeren van schadelijke code met behulp van kwaadaardige DLL’s

De WSUS / Windows Update-client (wuauclt) is een hulpprogramma op % windir% \ system32 \ dat gebruikers gedeeltelijke controle geeft over een deel van de functionaliteit van Windows Update Agent vanaf de opdrachtregel.

Hiermee kunt u controleren op nieuwe updates en deze installeren zonder de gebruikersinterface van Windows te hoeven gebruiken, maar in plaats daarvan te activeren vanuit een opdrachtpromptvenster.

Door de  optie / ResetAuthorization te gebruiken, kan een handmatige updatecontrole worden gestart op de lokaal geconfigureerde WSUS-server of via de Windows Update-service volgens Microsoft .

MDSec-onderzoeker David Middlehurst ontdekte echter dat wuauclt ook door aanvallers kan worden gebruikt om kwaadaardige code op Windows 10-systemen uit te voeren door deze te laden vanaf een willekeurige speciaal vervaardigde DLL met de volgende opdrachtregelopties:

wuauclt.exe /UpdateDeploymentProvider [path_to_dll] /RunHandlerComServer
| Softwaregeek

Zoals te zien is in de bovenstaande schermafbeelding, is de Full_Path_To_DLL het absolute pad naar het speciaal vervaardigde DLL-bestand van de aanvaller dat code zou uitvoeren bij het bijvoegen.

Deze verdedigingstechniek wordt door MITRE ATT & CK gecategoriseerd als Signed Binary Proxy Execution via Rundll32 en stelt aanvallers in staat om antivirus, applicatiebeheer en digitale certificaatvalidatie te omzeilen

In dit geval wordt dit gedaan door schadelijke code uit te voeren vanaf een DLL die is geladen met een ondertekend Microsoft-binair bestand, de Windows Update-client (wuauclt).

Nadat hij had ontdekt dat wuauclt ook als een LoLBin kan worden gebruikt, vond Middlehurst ook een monster dat het in het wild gebruikte.

Microsoft heeft onlangs de Windows 10 Microsoft Defender-antivirus bijgewerkt, ironisch genoeg en stilletjes een manier toegevoegd om bestanden die mogelijk kwaadaardig zijn, naar Windows-apparaten te downloaden.

| Softwaregeek

Microsoft heeft later de mogelijkheid verwijderd van MpCmdRun.exe het Microsoft Antimalware Service Command Line Utility.

Pin It on Pinterest