⭕️ ‏DCOMIllusionist ابزاری در حوزه‌ی post-exploitation است که با بهره‌گیری از سازوکار خودکار deserialization در سرورهای ‎.NET DCOM، قابلیت lateral movement را به‌صورت کاملاً fileless ارائه می‌دهد.
این ابزار با دستکاری هدفمند رجیستری روی میزبان هدف، مسیر class resolution را منحرف کرده و deserialization را به سمت نمونه‌سازی یک type تحت کنترل مهاجم هدایت می‌کند؛ در نتیجه payload مستقیماً در حافظه‌ی فرایند هدف اجرا می‌شود.
قابلیت cross-session exploitation نیز امکان اجرای کد در security context کاربری دیگر را فراهم می‌سازد.

با توجه به نیاز این تکنیک به دسترسی administrative بر روی هر دو endpoint، آن را باید یک روش post-compromise برای جابه‌جایی جانبی دانست.

اهمیت تحلیلی این مورد در زنجیرسازی مؤلفه‌های مشروع سیستم‌عامل (DCOM، ‎.NET remoting و registry) نهفته است؛ ترکیبی که یک primitive مخفیانه می‌سازد و از سازوکارهای تشخیص مبتنی بر فایل عبور می‌کند، لذا ضرورت اتکا به behavioral detection و رصد تغییرات حساس رجیستری را برجسته می‌نماید.

#RedTeam #DCOM
@securation