Клочки по закоулочкам. Как устроена служба BITS в Windows, и как ее атакуют

BITS — это сер­вис, пред­назна­чен­ный для заг­рузки и отправ­ки фай­лов на сер­веры HTTP и SMB. Клю­чевые воз­можнос­ти BITS:

• ав­томати­чес­кое возоб­новле­ние переда­чи фай­лов при потере сетево­го соеди­нения или ошиб­ке;
• воз­можность менять ско­рость заг­рузки с уче­том про­пус­кной спо­соб­ности сети и пот­ребнос­тей дру­гих при­ложе­ний.

BITS работа­ет с «задани­ями» (job, задача). Задание — это кон­тей­нер, который содер­жит один или нес­коль­ко фай­лов для переда­чи и свой­ства, которые опре­деля­ют, как переда­вать фай­лы. У каж­дого задания есть при­ори­тет. Задания с  высоким при­ори­тетом обра­баты­вают­ся быс­трее, чем осталь­ные. При соз­дании задачи опре­деля­ется один из трех ти­пов:

• BG_JOB_TYPE_DOWNLOAD — заг­рузка на локаль­ную сис­тему;
• BG_JOB_TYPE_UPLOAD — переда­ча на уда­лен­ный сер­вер;
• BG_JOB_TYPE_UPLOAD_REPLY — переда­ча на сер­вер и получе­ние фай­ла в ответ.

Состояния задач BITS

За­дача BITS может находит­ся в сос­тоянии одно­го из четырех клас­сов: starting, action, transferred, и final, которые мы рас­смот­рим ниже.

Начальное состояние (starting)

Жиз­ненный цикл задания BITS начина­ется с его соз­дания. Началь­ное сос­тояние — BG_JOB_STATE_SUSPENDED (задание BITS при­оста­нов­лено). В этом сос­тоянии ты можешь добавить фай­лы в задание и уста­новить его свой­ства. Для выпол­нения задания можем выпол­нить метод Resume. Если ты решишь выпол­нить задание без фай­лов, оно вер­нет код ошиб­ки BG_E_EMPTY, и задание оста­нет­ся при­оста­нов­ленным.

Поль­зователь, который соз­дал задание BITS явля­ется его вла­дель­цем (поль­зователь, с при­виле­гиями адми­нис­тра­тора, может стать вла­дель­цем любой задачи). Задача BITS выпол­няет­ся, ког­да поль­зователь авто­ризо­ван в сис­теме с инте­рак­тивным типом вхо­да.

Состояние действия (action)

К это­му клас­су отно­сят­ся сле­дующие сос­тояния:

• BG_JOB_STATE_QUEUED — задание находит­ся в оче­реди и ждет выпол­нения.
• BG_JOB_STATE_CONNECTING — служ­ба BITS пыта­ется под­клю­чить­ся к уда­лен­ному сер­веру. Если соеди­нение успешно, сос­тояние задачи изме­нит­ся на BG_JOB_STATE_TRANSFERRING, а в про­тив­ном слу­чае на BG_JOB_STATE_TRANSIENT_ERROR.
• BG_JOB_STATE_TRANSFERRING — BITS переда­ет дан­ные задания.
• BG_JOB_STATE_TRANSIENT_ERROR — про­изош­ла ошиб­ка, пос­ле которой переда­ча может быть вос­ста­нов­лена. BITS будет пытать­ся выпол­нить задание какое‑то вре­мя, а если не выпол­нится, то сос­тояние изме­нит­ся на BG_JOB_STATE_ERROR.

Сос­тояние задания меня­ется меж­ду ста­туса­ми, пока BITS не передаст все фай­лы из него. Если задача не выпол­нится в течение выделен­ного вре­мени, оно воз­вра­щает­ся в сос­тояние BG_JOB_STATE_QUEUED, и начина­ется переда­ча из сле­дующе­го задания.

Состояния передачи (transferred)

За­дача перехо­дит в сос­тояние BG_JOB_STATE_TRANSFERRED (переда­ча дан­ных успешно выпол­нена), ког­да фай­лы переда­ны. Даль­ше ты дол­жен либо отме­нить, либо завер­шить работу это­го задания.

Для успешно­го выпол­нения дол­жны быть переда­ны все фай­лы, ина­че задание завер­шится ошиб­кой — BG_JOB_STATE_ERROR (про­изош­ла неис­пра­вимая ошиб­ка, служ­ба не может передать файл).

Окончательные состояния (final)

Как толь­ко задача перей­дет в окон­чатель­ное сос­тояние, ты не можешь ее изме­нить. Задание будет в сос­тоянии  BG_JOB_STATE_ACKNLEDGED (под­твержда­ет успешное выпол­нение задания) пос­ле вызова Complete, и все заг­ружен­ные фай­лы будут сох­ранены. При вызове метода Cancel опе­раци­онная сис­тема уда­лит заг­ружен­ные фай­лы и сос­тояние задачи перей­дет в BG_JOB_STATE_CANCELLED (задание отме­нено, уда­лено из оче­реди). Задания, которые не перей­дут в окон­чатель­ное сос­тояние, будут авто­мати­чес­ки отме­нены.

Как менять состояния задач

По­ка задание не находит­ся в одном из окон­чатель­ных сос­тояний, ты можешь выз­вать любой из четырех методов для его изме­нения:

• Cancel — исполь­зует­ся для отме­ны задания. Переда­ча фай­лов будет отме­нена, а заг­ружен­ные фай­лы — уда­лены.
• Complete — заг­ружен­ные фай­лы будут сох­ранены, а непол­ностью передан­ные — уда­лены.
• Resume - исполь­зует­ся для перево­да задания из сос­тояния BG_JOB_STATE_SUSPENDED. Задания в сос­тоянии BG_JOB_STATE_ERROR или BG_JOB_STATE_TRANSIENT_ERROR будут заново выпол­нены.
• Suspend — исполь­зует­ся для перево­да задания в сос­тояние BG_JOB_STATE_SUSPENDED. Задание будет находит­ся в этом сос­тоянии до вызова метода Resume.

Эксплуатация BITS

Для работы с BITS ты можешь исполь­зовать ути­литу bitsadmin.exe, которая поз­воля­ет управлять задача­ми BITS, либо коман­дле­тами PowerShell.

Пос­ле крат­кого зна­комс­тва с BITS у тебя уже дол­жны появить­ся идеи, как мож­но экс­плу­ати­ровать эту служ­бу. В мат­рице MITRE ATT&CK BITS упо­мина­ется в нес­коль­ких так­тиках:

• Зак­репле­ние (Defense Evasion) — T1197 BITS Jobs
• Об­ход средств защиты и обна­руже­ния (Persistence) — T1197 BITS Jobs
• Кон­троль и управле­ние (Command and Control) — T1105 Ingress Tool Transfer

BITS может поз­волить хакерам спря­тать соз­дание про­цес­са и сетево­го соеди­нения за сво­ей служ­бой, впро­чем, некото­рые EDR и EPP уже обна­ружи­вают такие попыт­ки.

Служ­бу мож­но запус­тить вс:

При пен­тесте BITS может при­годить­ся для раз­ных задач:

• за­пус­тить пей­лоад или ска­чать файл, исполь­зуя про­цесс служ­бы BITS;
• заг­рузить файл с уда­лен­ного ресур­са;
• от­пра­вить файл на уда­лен­ный ресурс;
• ско­пиро­вать файл локаль­но;
• зак­репить­ся в сис­теме.

Дей­ствия опи­сан­ные ниже так­же мож­но выпол­нить с помощью коман­дле­тов PowerShell:

• Start-BitsTransfer;
• Get-BitsTransfe;
• Suspend-BitsTransfer;
• Resume-BitsTransfer;
• Complete-BitsTransfer;
• Remove-BitsTransfer.

Под­робно оста­нав­ливать­ся на них мы не будем.

Создаем задачу для загрузки файла или локального копирования

Для соз­дания задачи, которая будет заг­ружать файл с уда­лен­ного ресур­са можем выпол­нить коман­ды ниже.

Как ты дума­ешь, что тебя ждет на эта­пе добав­ления локаль­ного фай­ла в задачу для копиро­вания? Пра­виль­но, Windows Defender нач­нет ругать­ся и выдавать сооб­щение Trojan:Win32/BITSAbuse.AS.

Мо­жем по‑быс­тро­му подоб­рать количес­тво кавычек для обфуска­ции коман­ды, и получим:

Ес­ли запус­тить эту коман­ду, файл все же добавит­ся в задачу, а детект сра­бота­ет уже пос­ле это­го.

Выполняем нагрузку и закрепляемся в системе

В отли­чие от пре­дыду­щего спо­соба у нас добав­ляет­ся исполь­зование коман­ды для нас­трой­ки уве­дом­ления bitsadmin /SetNotifyCmdLine.

Да­вай поз­накомим­ся с механиз­мом уве­дом­лений под­робнее. Мы уже зна­ем, что для его уста­нов­ки исполь­зует­ся аргу­мент SetNotifyCmdLine. Остался воп­рос, ког­да сра­бота­ет уве­дом­ление. Обра­тим­ся к докумен­тации, и уви­дим, что опре­деле­ны че­тыре типа уве­дом­лений:

• 1 — генери­рует событие, ког­да все фай­лы в задании были переда­ны (ста­тус BG_JOB_STATE_TRANSFERRED);
• 2 — генери­рует событие при воз­никно­вении ошиб­ки (ста­тус BG_JOB_STATE_ERROR);
• 3 — генери­рует событие, ког­да все фай­лы были переда­ны или при воз­никно­вении ошиб­ки (по умол­чанию, ста­тус BG_JOB_STATE_TRANSFERRED и BG_JOB_STATE_ERROR);
• 4 — отклю­чает уве­дом­ление.

Для уста­нов­ки типа уве­дом­лений можешь исполь­зовать коман­ду:

Ус­танов­ленная для уве­дом­ления коман­да будет дочер­ним про­цес­сом служ­бы BITS. Но нуж­но пом­нить, что соз­дание дочер­них про­цес­сов от svchost.exe — не менее подоз­ритель­но, чем запуск ути­лит для работы с BITS. Тем не менее, такой метод может поз­волить обой­ти некото­рые поведен­ческие модули.

Ку­да более ред­кое при­мене­ние BITS — это зак­репле­ние в сис­теме. Для это­го мож­но исполь­зовать все те же коман­ды, что я при­водил выше. Дело в том, что если выз­ванная в рам­ках уве­дом­ления прог­рамма не отме­нила (cancel) или не завер­шила (complete) задание, BITS сно­ва ее вызовет по исте­чении минималь­ной задер­жки, по умол­чанию это 600 секунд. Для изме­нения зна­чения можем исполь­зовать такую коман­ду:

Пос­ле это­го BITS будет вызывать уве­дом­ление каж­дые 35 секунд, пока задача не перей­дет в финаль­ное сос­тояние.

Воз­ника­ет воп­рос, как дол­го может работать такая задача? Для это­го есть параметр NoProgressTimeout, зна­чение которо­го 1209600 секунд (14 дней). Изме­нить зна­чение можешь такой коман­дой:

В резуль­тате ты смо­жешь зак­репить­ся в сис­теме, если не выпол­нишь коман­ду bitsadmin /complete hacks или bitsadmin /cancel hacks.

Соз­даем задачу с име­нем hacks:

До­бав­ляем файл для заг­рузки:

Ус­тановим уве­дом­ление и запус­тим cmd.exe:

Вы­зыва­ем задачу, исполь­зуя метод resume:

И, конеч­но, не под­твержда­ем или не отме­няем выпол­нение задачи.

BITS Tamparing

Поль­зователь может прос­мотреть спи­сок сво­их задач, а локаль­ный адми­нис­тра­тор — спи­сок задач всех поль­зовате­лей.