T1218.008 — выполнение DLL с помощью ODBCCONF.exe

Что такое ODBCConf.exe?

ODBCConf.exe — это служебная программа Microsoft Windows, которая используется для управления источниками данных Open Database Connectivity (ODBC). ODBCConf.exe позволяет настраивать и управлять драйверами ODBC и источниками данных на вашем компьютере. ODBC — это стандартный API (интерфейс прикладного программирования) для доступа к данным из различных баз данных с использованием SQL (язык структурированных запросов).

ODBCConf.exe обычно находится в папке «System32» установки Windows, и к нему можно получить доступ из командной строки или диалогового окна «Выполнить».

Как злоумышленники могут злоупотреблять ODBCconf.exe?

Злоумышленники могут злоупотреблять ODBCConf.exe различными способами, в том числе: сохранение вредоносных программ, эксфильтрация данных, кража учетных данных, запуск вредоносного программного обеспечения и т. д. В этой статье будет рассказано, как злоумышленники могут запускать вредоносные
DLL с помощью двоичного файла odbccong.exe.

Создавать DLL для запуска calc.exe?

Следующий код C++ можно скомпилировать с помощью Visual Studio в качестве DLL, и после выполнения скомпилированной DLL будет создан calc.exe.

#include <windows.h>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
        case DLL_PROCESS_ATTACH:
            // Execute Calculator
            WinExec("calc.exe", SW_SHOW);
            break;
    }
    return TRUE;
}

https://github.com/cyb3rjy0t/CalcDLL

Злоупотребление ODBCCONF.exe для выполнения DLL

При выполнении команды генерируются следующие артефакты:

Обнаружение

Возможное обнаружение после просмотра журналов Windows Sysmon

1. Мониторинг командной строки процесса в событии с идентификатором 1

event.code: 1 AND (process.name: "odbcconf.exe" OR original.file_name:"odbcconf.exe") AND process.command_line:("regsvr" AND ("/A" OR "-A"))

       
                

                    
                    
                
            

event.code: 1 AND parent.process.name: "odbcconf.exe"

event.code: 7 AND process.name: "odbcconf.exe"

2. https://attack.mitre.org/techniques/T1218/008/
3. https://dmcxblue.gitbook.io/red-team-notes-2-0/red-team-techniques/defense-evasion/t1218-signed-binary-proxy-execution/untitled-4
4. https://learn.microsoft.com/en-us/sql/odbc/odbcconf-exe?view=sql-server-ver16
5. https://redcanary.com/blog/raspberry-robin/
6. https://chat.openai.com/