T1218.008 — Thực thi DLL bằng ODBCCONF.exe

ODBCConf.exe là gì?

ODBCConf.exe là một tiện ích Microsoft Windows được sử dụng để quản lý các nguồn dữ liệu Kết nối Cơ sở dữ liệu Mở (ODBC). ODBCConf.exe cho phép bạn định cấu hình và quản lý trình điều khiển ODBC cũng như nguồn dữ liệu trên máy tính của mình. ODBC là một API (Giao diện lập trình ứng dụng) tiêu chuẩn để truy cập dữ liệu từ các cơ sở dữ liệu khác nhau bằng SQL (Ngôn ngữ truy vấn có cấu trúc).

ODBCConf.exe thường nằm trong thư mục “System32” của bản cài đặt Windows và có thể được truy cập từ hộp thoại Dấu nhắc Lệnh hoặc Chạy.

Làm thế nào các tác nhân đe dọa có thể lạm dụng ODBCconf.exe?

Các tác nhân đe dọa có thể lạm dụng ODBCConf.exe theo một số cách, bao gồm: Duy trì phần mềm độc hại, Lọc dữ liệu, Đánh cắp thông tin xác thực, Thực thi phần mềm độc hại, v.v. Bài viết
này sẽ đề cập đến cách các tác nhân đe dọa có thể thực thi tệp DLL độc hại bằng tệp nhị phân odbccong.exe.

Tạo một DLL để thực thi calc.exe?

Mã C++ sau đây có thể được biên dịch bằng Visual Studio dưới dạng DLL và khi thực thi DLL đã biên dịch, nó sẽ sinh ra calc.exe.

#include <windows.h>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
        case DLL_PROCESS_ATTACH:
            // Execute Calculator
            WinExec("calc.exe", SW_SHOW);
            break;
    }
    return TRUE;
}

https://github.com/cyb3rjy0t/CalcDLL

Lợi dụng ODBCCONF.exe để thực thi DLL

Khi thực thi lệnh, các tạo phẩm sau được tạo:

phát hiện

Khả năng phát hiện sau khi quan sát nhật ký Windows Sysmon

1. Giám sát dòng lệnh quy trình trong ID sự kiện 1

event.code: 1 AND (process.name: "odbcconf.exe" OR original.file_name:"odbcconf.exe") AND process.command_line:("regsvr" AND ("/A" OR "-A"))

       
                

                    
                    
                
            

event.code: 1 AND parent.process.name: "odbcconf.exe"

event.code: 7 AND process.name: "odbcconf.exe"

2. https://attack.mitre.org/techniques/T1218/008/
3. https://dmcxblue.gitbook.io/red-team-notes-2-0/red-team-techniques/defense-evasion/t1218-signed-binary-proxy-execution/untitled-4
4. https://learn.microsoft.com/en-us/sql/odbc/odbcconf-exe?view=sql-server-ver16
5. https://redcanary.com/blog/raspberry-robin/
6. https://chat.openai.com/