DCOMIllusionist — movimento lateral sem arquivo via DCOM e desserialização .NET

Na conferência x33fcon, a Synacktiv apresentou uma ferramenta para execução remota de código furtiva em hosts Windows com privilégios administrativos. A ferramenta aproveita os servidores .NET DCOM que desserializam automaticamente objetos recebidos, permitindo a execução de comandos ou carregamento de DLL inteiramente na memória sem gravar arquivos no disco. É útil para atividades de pós-exploração e movimento entre sessões dentro de um domínio.

Recursos: • Executar comandos via --exec e --ps-exec com seleção de sessão (--session) • Carregar uma DLL e invocar um método de classe diretamente na memória via --load-dll, --dll-class, --dll-method • Criar solicitações HTTP sob o contexto de outra sessão (--curl) para ataques de retransmissão NTLM • Gerar e executar payloads ysoserial (--yso-b64) • Gerenciar modificações de registro local e remoto (--local-registry-only, --remote-registry-only) • Exibir uma lista de sessões interativas e ativas remotas no dispositivo de destino (--list-sessions) • Testar conectividade de rede ao alvo a partir do host do atacante (--test-network)

Ferramenta: https://github.com/synacktiv/DCOMIllusionist