T1218.008 — Exécution DLL avec ODBCONF.exe

Qu'est-ce qu'ODBCConf.exe ?

ODBCConf.exe est un utilitaire Microsoft Windows utilisé pour gérer les sources de données ODBC (Open Database Connectivity). ODBCConf.exe vous permet de configurer et de gérer les pilotes ODBC et les sources de données sur votre ordinateur. ODBC est une API standard (Application Programming Interface) permettant d'accéder aux données de différentes bases de données à l'aide de SQL (Structured Query Language).

ODBCConf.exe se trouve généralement dans le dossier "System32" d'une installation Windows et est accessible à partir de l'invite de commande ou de la boîte de dialogue Exécuter.

Comment les pirates peuvent-ils abuser de ODBCconf.exe ?

Les pirates peuvent abuser d'ODBCConf.exe de plusieurs manières, notamment : la persistance des logiciels malveillants, l'exfiltration de données, le vol d'informations d'identification, l'exécution de logiciels malveillants, etc.
Cet article explique comment les pirates peuvent exécuter des DLL malveillantes à l'aide du binaire odbccong.exe.

Création d'une DLL pour exécuter calc.exe ?

Le code C++ suivant peut être compilé à l'aide de Visual Studio en tant que DLL et lors de l'exécution de la DLL compilée, il générera calc.exe.

#include <windows.h>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
        case DLL_PROCESS_ATTACH:
            // Execute Calculator
            WinExec("calc.exe", SW_SHOW);
            break;
    }
    return TRUE;
}

https://github.com/cyb3rjy0t/CalcDLL

Abus de ODBCONF.exe pour exécuter DLL

Lors de l'exécution de la commande, les artefacts suivants sont générés :

Détection

La détection possible après observation des logs Windows Sysmon

1. Surveillance de la ligne de commande de processus dans l'ID d'événement 1

event.code: 1 AND (process.name: "odbcconf.exe" OR original.file_name:"odbcconf.exe") AND process.command_line:("regsvr" AND ("/A" OR "-A"))

       
                

                    
                    
                
            

event.code: 1 AND parent.process.name: "odbcconf.exe"

event.code: 7 AND process.name: "odbcconf.exe"

2. https://attack.mitre.org/techniques/T1218/008/
3. https://dmcxblue.gitbook.io/red-team-notes-2-0/red-team-techniques/defense-evasion/t1218-signed-binary-proxy-execution/untitled-4
4. https://learn.microsoft.com/en-us/sql/odbc/odbcconf-exe?view=sql-server-ver16
5. https://redcanary.com/blog/raspberry-robin/
6. https://chat.openai.com/