T1218.008 — Eksekusi DLL menggunakan ODBCCONF.exe

Apa itu ODBCConf.exe?

ODBCConf.exe adalah utilitas Microsoft Windows yang digunakan untuk mengelola sumber data Open Database Connectivity (ODBC). ODBCConf.exe memungkinkan Anda untuk mengonfigurasi dan mengelola driver ODBC dan sumber data di komputer Anda. ODBC adalah standar API (Application Programming Interface) untuk mengakses data dari database yang berbeda menggunakan SQL (Structured Query Language).

ODBCConf.exe biasanya terletak di folder "System32" dari instalasi Windows, dan dapat diakses dari kotak dialog Command Prompt atau Run.

Bagaimana pelaku ancaman dapat menyalahgunakan ODBCconf.exe?

Pelaku ancaman dapat menyalahgunakan ODBCConf.exe dalam beberapa cara, termasuk: Persistensi Malware, Pengeluaran Data, Pencurian Kredensial, Eksekusi Perangkat Lunak Berbahaya, dll.
Tulisan ini akan membahas bagaimana pelaku ancaman dapat mengeksekusi DLL berbahaya menggunakan biner odbccong.exe.

Membuat DLL untuk menjalankan calc.exe?

Kode C++ berikut dapat dikompilasi menggunakan Visual Studio sebagai DLL dan setelah eksekusi DLL yang dikompilasi, itu akan memunculkan calc.exe.

#include <windows.h>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
        case DLL_PROCESS_ATTACH:
            // Execute Calculator
            WinExec("calc.exe", SW_SHOW);
            break;
    }
    return TRUE;
}

https://github.com/cyb3rjy0t/CalcDLL

Menyalahgunakan ODBCCONF.exe untuk mengeksekusi DLL

Setelah eksekusi perintah, artefak berikut dihasilkan:

Deteksi

Deteksi yang mungkin setelah mengamati log Windows Sysmon

1. Memantau baris perintah proses di ID peristiwa 1

event.code: 1 AND (process.name: "odbcconf.exe" OR original.file_name:"odbcconf.exe") AND process.command_line:("regsvr" AND ("/A" OR "-A"))

       
                

                    
                    
                
            

event.code: 1 AND parent.process.name: "odbcconf.exe"

event.code: 7 AND process.name: "odbcconf.exe"

2. https://attack.mitre.org/techniques/T1218/008/
3. https://dmcxblue.gitbook.io/red-team-notes-2-0/red-team-techniques/defense-evasion/t1218-signed-binary-proxy-execution/untitled-4
4. https://learn.microsoft.com/en-us/sql/odbc/odbcconf-exe?view=sql-server-ver16
5. https://redcanary.com/blog/raspberry-robin/
6. https://chat.openai.com/