红队成员喜欢通过“合法”渠道寻找新的代码执行方法.这次,Microsoft Team 也是利用的目标.Team是一个有趣的利用点,因为它使用了称为Electron的现代技术.Electron基本上是嵌入在可执行文件中的...为了能够执行任意文件,我们只需要将其复制到
C:\Users\*\AppData\Microsoft\Teams\current\
文件夹中即可....更改为您的有效负载,并确保将其重命名为Squirrel.exe.压缩整个文件夹,并使用适当的哈希值和大小更新RELEASES文件....文件夹中,因此不需要特权访问.攻击者可以借此伪装流量(尤其是横向移动)
0x10Trustwave建议:
从威胁搜寻的角度
利用EDR解决方案,并查看“ update.exe”命令行中的可疑连接...Teams“ update.exe”打交道,请验证大小和哈希值,寻找任何异常情况.研究传出的SMB连接,尤其是从Microsoft Teams更新程序update.exe中进行传出的SMB连接,或者在必要时完全在外围过滤