T1218.008: esecuzione di DLL tramite ODBCCONF.exe

Che cos'è ODBCConf.exe?

ODBCConf.exe è un'utilità di Microsoft Windows utilizzata per gestire le origini dati ODBC (Open Database Connectivity). ODBCConf.exe consente di configurare e gestire i driver ODBC e le origini dati nel computer. ODBC è un'API (Application Programming Interface) standard per l'accesso ai dati da diversi database tramite SQL (Structured Query Language).

ODBCConf.exe si trova in genere nella cartella "System32" di un'installazione di Windows ed è possibile accedervi dal prompt dei comandi o dalla finestra di dialogo Esegui.

In che modo gli attori delle minacce possono abusare di ODBCconf.exe?

Gli attori delle minacce possono abusare di ODBCConf.exe in diversi modi, tra cui: persistenza del malware, esfiltrazione di dati, furto di credenziali, esecuzione di software dannoso e così via
.

Creazione di una DLL per eseguire calc.exe?

Il seguente codice C++ può essere compilato utilizzando Visual Studio come DLL e all'esecuzione della DLL compilata, genererà calc.exe.

#include <windows.h>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
        case DLL_PROCESS_ATTACH:
            // Execute Calculator
            WinExec("calc.exe", SW_SHOW);
            break;
    }
    return TRUE;
}

https://github.com/cyb3rjy0t/CalcDLL

Abuso di ODBCCONF.exe per eseguire DLL

All'esecuzione del comando, vengono generati i seguenti artefatti:

Rilevamento

Il possibile rilevamento dopo aver osservato i registri di Windows Sysmon

1. Monitoraggio della riga di comando del processo nell'ID evento 1

event.code: 1 AND (process.name: "odbcconf.exe" OR original.file_name:"odbcconf.exe") AND process.command_line:("regsvr" AND ("/A" OR "-A"))

       
                

                    
                    
                
            

event.code: 1 AND parent.process.name: "odbcconf.exe"

event.code: 7 AND process.name: "odbcconf.exe"

2. https://attack.mitre.org/techniques/T1218/008/
3. https://dmcxblue.gitbook.io/red-team-notes-2-0/red-team-techniques/defense-evasion/t1218-signed-binary-proxy-execution/untitled-4
4. https://learn.microsoft.com/en-us/sql/odbc/odbcconf-exe?view=sql-server-ver16
5. https://redcanary.com/blog/raspberry-robin/
6. https://chat.openai.com/