T1218.008 — ODBCCONF.exe kullanılarak DLL yürütme

ODBCConf.exe nedir?

ODBCConf.exe, Açık Veritabanı Bağlantısı (ODBC) veri kaynaklarını yönetmek için kullanılan bir Microsoft Windows yardımcı programıdır. ODBCConf.exe, bilgisayarınızdaki ODBC sürücülerini ve veri kaynaklarını yapılandırmanıza ve yönetmenize olanak tanır. ODBC, SQL (Yapılandırılmış Sorgu Dili) kullanarak farklı veritabanlarından verilere erişmek için standart bir API'dir (Uygulama Programlama Arayüzü).

ODBCConf.exe, genellikle bir Windows kurulumunun "System32" klasöründe bulunur ve Komut İstemi veya Çalıştır iletişim kutusundan erişilebilir.

Tehdit aktörleri ODBCconf.exe'yi nasıl kötüye kullanabilir?

Tehdit aktörleri, ODBCConf.exe'yi aşağıdakiler de dahil olmak üzere çeşitli şekillerde kötüye kullanabilir: Kötü Amaçlı Yazılım Kalıcılığı, Veri Sızdırma, Kimlik Bilgisi Hırsızlığı, Kötü Amaçlı Yazılım Yürütme vb
.

Calc.exe'yi çalıştırmak için bir DLL oluşturuluyor mu?

Aşağıdaki C++ kodu, Visual Studio kullanılarak bir DLL olarak derlenebilir ve derlenen DLL çalıştırıldığında, calc.exe'yi oluşturur.

#include <windows.h>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
        case DLL_PROCESS_ATTACH:
            // Execute Calculator
            WinExec("calc.exe", SW_SHOW);
            break;
    }
    return TRUE;
}

https://github.com/cyb3rjy0t/CalcDLL

DLL yürütmek için ODBCCONF.exe'yi kötüye kullanma

Komutun yürütülmesi üzerine, aşağıdaki yapıtlar üretilir:

Tespit etme

Windows Sysmon günlüklerini gözlemledikten sonra olası algılama

1. Olay kimliği 1'de işlem komut satırını izleme

event.code: 1 AND (process.name: "odbcconf.exe" OR original.file_name:"odbcconf.exe") AND process.command_line:("regsvr" AND ("/A" OR "-A"))

       
                

                    
                    
                
            

event.code: 1 AND parent.process.name: "odbcconf.exe"

event.code: 7 AND process.name: "odbcconf.exe"

2. https://attack.mitre.org/techniques/T1218/008/
3. https://dmcxblue.gitbook.io/red-team-notes-2-0/red-team-techniques/defense-evasion/t1218-signed-binary-proxy-execution/untitled-4
4. https://learn.microsoft.com/en-us/sql/odbc/odbcconf-exe?view=sql-server-ver16
5. https://redcanary.com/blog/raspberry-robin/
6. https://chat.openai.com/