T1218.008 — Ejecución de DLL usando ODBCCONF.exe

¿Qué es ODBCConf.exe?

ODBCConf.exe es una utilidad de Microsoft Windows que se utiliza para administrar orígenes de datos de Conectividad abierta de bases de datos (ODBC). ODBCConf.exe le permite configurar y administrar controladores ODBC y fuentes de datos en su computadora. ODBC es una API estándar (interfaz de programación de aplicaciones) para acceder a datos de diferentes bases de datos utilizando SQL (lenguaje de consulta estructurado).

ODBCConf.exe normalmente se encuentra en la carpeta "System32" de una instalación de Windows y se puede acceder desde el símbolo del sistema o desde el cuadro de diálogo Ejecutar.

¿Cómo los actores de amenazas pueden abusar de ODBCconf.exe?

Los actores de amenazas pueden abusar de ODBCConf.exe de varias maneras, que incluyen: Persistencia de malware, Exfiltración de datos, Robo de credenciales, Ejecución de software malicioso, etc.
Este escrito cubrirá cómo los actores de amenazas pueden ejecutar DLL maliciosos usando el binario odbccong.exe.

¿Crear una DLL para ejecutar calc.exe?

El siguiente código de C++ se puede compilar utilizando Visual Studio como una DLL y, al ejecutar la DLL compilada, generará calc.exe.

#include <windows.h>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
        case DLL_PROCESS_ATTACH:
            // Execute Calculator
            WinExec("calc.exe", SW_SHOW);
            break;
    }
    return TRUE;
}

https://github.com/cyb3rjy0t/CalcDLL

Abusar de ODBCCONF.exe para ejecutar DLL

Tras la ejecución del comando, se generan los siguientes artefactos:

Detección

La posible detección tras observar los registros de Windows Sysmon

1. Monitoreo de la línea de comando del proceso en el evento ID 1

event.code: 1 AND (process.name: "odbcconf.exe" OR original.file_name:"odbcconf.exe") AND process.command_line:("regsvr" AND ("/A" OR "-A"))

       
                

                    
                    
                
            

event.code: 1 AND parent.process.name: "odbcconf.exe"

event.code: 7 AND process.name: "odbcconf.exe"

2. https://attack.mitre.org/techniques/T1218/008/
3. https://dmcxblue.gitbook.io/red-team-notes-2-0/red-team-techniques/defense-evasion/t1218-signed-binary-proxy-execution/untitled-4
4. https://learn.microsoft.com/en-us/sql/odbc/odbcconf-exe?view=sql-server-ver16
5. https://redcanary.com/blog/raspberry-robin/
6. https://chat.openai.com/