T1218.008 — Wykonywanie DLL przy użyciu ODBCCONF.exe

Co to jest ODBCConf.exe?

ODBCConf.exe to narzędzie Microsoft Windows, które służy do zarządzania źródłami danych Open Database Connectivity (ODBC). ODBCConf.exe umożliwia konfigurowanie i zarządzanie sterownikami ODBC i źródłami danych na komputerze. ODBC to standardowy interfejs API (Application Programming Interface) służący do uzyskiwania dostępu do danych z różnych baz danych przy użyciu języka SQL (Structured Query Language).

ODBCConf.exe zwykle znajduje się w folderze „System32” instalacji systemu Windows i można uzyskać do niego dostęp z poziomu wiersza polecenia lub okna dialogowego Uruchom.

W jaki sposób cyberprzestępcy mogą nadużywać ODBCconf.exe?

Aktorzy zajmujący się zagrożeniami mogą nadużywać ODBCConf.exe na wiele sposobów, w tym: Trwałość złośliwego oprogramowania, Eksfiltracja danych, Kradzież poświadczeń, Wykonanie złośliwego oprogramowania itp. W
tym artykule omówimy, w jaki sposób cyberprzestępcy mogą uruchamiać złośliwą bibliotekę DLL przy użyciu pliku binarnego odbccong.exe.

Tworzenie biblioteki DLL do wykonania programu calc.exe?

Poniższy kod C++ można skompilować przy użyciu programu Visual Studio jako biblioteki DLL, a po wykonaniu skompilowanej biblioteki DLL zostanie wygenerowany plik calc.exe.

#include <windows.h>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
        case DLL_PROCESS_ATTACH:
            // Execute Calculator
            WinExec("calc.exe", SW_SHOW);
            break;
    }
    return TRUE;
}

https://github.com/cyb3rjy0t/CalcDLL

Nadużywanie ODBCCONF.exe do uruchamiania biblioteki DLL

Po wykonaniu polecenia generowane są następujące artefakty:

Wykrycie

Możliwe wykrycie po obejrzeniu dzienników systemu Windows Sysmon

1. Monitorowanie wiersza poleceń procesu w zdarzeniu o IDENTYFIKATORze 1

event.code: 1 AND (process.name: "odbcconf.exe" OR original.file_name:"odbcconf.exe") AND process.command_line:("regsvr" AND ("/A" OR "-A"))

       
                

                    
                    
                
            

event.code: 1 AND parent.process.name: "odbcconf.exe"

event.code: 7 AND process.name: "odbcconf.exe"

2. https://attack.mitre.org/techniques/T1218/008/
3. https://dmcxblue.gitbook.io/red-team-notes-2-0/red-team-techniques/defense-evasion/t1218-signed-binary-proxy-execution/untitled-4
4. https://learn.microsoft.com/en-us/sql/odbc/odbcconf-exe?view=sql-server-ver16
5. https://redcanary.com/blog/raspberry-robin/
6. https://chat.openai.com/