Hacking QuickTip 36 - Persistence by embedding shellcode in the Windows Event Logs

Deze persistence methode werkt relatief goed. Verstop je shellcode in de Windows event logs om deze later weer te activeren. Wanneer de shellcode als hexadecimaal formaat in de event logs geplaatst is dan zal dit (op moment van schrijven) geen alarmbellen doen rinkelen bij Windows Defender. We gebruiken in deze video de SharpEventPersist tool en een manuele methode om shellcode in de event logs te plaatsen. We gebruiken vervolgens SharpEventLoader en/of de EventLogForRedTeams tool om deze shellcode te vinden en activeren. Aangezien deze tools statisch gecompiled moeten worden met de juiste informatie wanneer alternatieve waarden gebruikt zijn, zoals een alternatieve event log of een alternatieve instance id zijn ze minder dynamisch. Daarom heb ik een speciale versie van de SharpEventLoader tool gemaakt welke wel dynamisch v.a. de CLI kan worden gebruikt. Uiteraard laat ik ook even deze tool aan bod komen. Het idee om shellcode te verstoppen in event logs is een prima persistence methode. Let op, deze methode is slechts persistent tot log-rotatie plaatsvindt of tot een manuele of automatische actie de logboeken schoont. Effectief betekent dit dat je via deze shellcode embedding techniek vaak 1 tot meerdere maanden persistence krijgt... en soms nog veel langer!

🔗 Resource (GitHub) URL: https://github.com/mrbaselier/SharpEventLoader

===================================
If you’ve learned something and would like to support me, or gain access to unique perks and exclusive content, consider becoming a Patreon or treating me to a nice cup of coffee!

💖 https://www.patreon.com/jarnobaselier
☕ https://www.buymeacoffee.com/jarno

Other places we can meet:

♾️ Discord: https://discord.com/invite/Rw6bcKj
💻 UDemy: https://www.udemy.com/user/j-baselier/
🎎 LinkedIn: https://www.linkedin.com/in/jarnobaselier/?originalSubdomain=nl
🌎 Site: https://jarnobaselier.nl

Видео Hacking QuickTip 36 - Persistence by embedding shellcode in the Windows Event Logs канала Jarno Baselier