T1218.008 — Execução de DLL usando ODBCCONF.exe

O que é ODBCConf.exe?

ODBCConf.exe é um utilitário do Microsoft Windows usado para gerenciar fontes de dados ODBC (Open Database Connectivity). ODBCConf.exe permite configurar e gerenciar drivers ODBC e fontes de dados em seu computador. ODBC é uma API padrão (Application Programming Interface) para acessar dados de diferentes bancos de dados usando SQL (Structured Query Language).

ODBCConf.exe normalmente está localizado na pasta “System32” de uma instalação do Windows e pode ser acessado a partir do prompt de comando ou da caixa de diálogo Executar.

Como os agentes de ameaças podem abusar do ODBCconf.exe?

Os agentes de ameaças podem abusar do ODBCConf.exe de várias maneiras, incluindo: persistência de malware, exfiltração de dados, roubo de credenciais, execução de software malicioso etc.

Criando uma DLL para executar calc.exe?

O seguinte código C++ pode ser compilado usando o Visual Studio como uma DLL e, após a execução da DLL compilada, ele gerará calc.exe.

#include <windows.h>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
        case DLL_PROCESS_ATTACH:
            // Execute Calculator
            WinExec("calc.exe", SW_SHOW);
            break;
    }
    return TRUE;
}

https://github.com/cyb3rjy0t/CalcDLL

Abusando de ODBCCONF.exe para executar DLL

Após a execução do comando, os seguintes artefatos são gerados:

Detecção

A possível detecção após observar os logs do Windows Sysmon

1. Monitorando a linha de comando do processo no evento ID 1

event.code: 1 AND (process.name: "odbcconf.exe" OR original.file_name:"odbcconf.exe") AND process.command_line:("regsvr" AND ("/A" OR "-A"))

       
                

                    
                    
                
            

event.code: 1 AND parent.process.name: "odbcconf.exe"

event.code: 7 AND process.name: "odbcconf.exe"

2. https://attack.mitre.org/techniques/T1218/008/
3. https://dmcxblue.gitbook.io/red-team-notes-2-0/red-team-techniques/defense-evasion/t1218-signed-binary-proxy-execution/untitled-4
4. https://learn.microsoft.com/en-us/sql/odbc/odbcconf-exe?view=sql-server-ver16
5. https://redcanary.com/blog/raspberry-robin/
6. https://chat.openai.com/