COM Hijacking

Définition

Le COM Hijacking (détournement de Component Object Model) exploite le mécanisme de résolution des objets COM de Windows pour faire exécuter du code malveillant à la place d'un composant COM légitime. Windows recherche les entrées COM dans un ordre prédéfini, permettant à un attaquant d'enregistrer une entrée COM malveillante dans un emplacement prioritaire sans droits d'administrateur. Windows résout les COM IDs (CLSIDs) en cherchant dans l'ordre : HKCU\Software\Classes\CLSID (registre utilisateur, sans droits admin) puis HKLM\Software\Classes\CLSID (registre système, nécessite admin). Si un CLSID est uniquement enregistré dans HKLM, un attaquant peut créer une entrée dans HKCU avec le même CLSID pointant vers un exécutable malveillant. Les applications qui instancient cet objet COM chargeront alors la version malveillante. L'identification des COM hijacking opportunities utilise Process Monitor (filtre sur HKCU CLSID pour les résultats 'NAME NOT FOUND') pour trouver les CLSIDs recherchés dans HKCU par des applications légitimes mais non enregistrés. Ces CLSIDs sont des candidats parfaits au hijacking. Le COM Hijacking est apprécié pour la persistance car : il ne nécessite pas de droits d'administrateur (si ciblant HKCU), il est déclenché automatiquement par des applications légitimes qui instancient l'objet COM, il est difficile à détecter car le CLSID malveillant coexiste avec d'autres entrées HKCU légitimes, et les clés de registre HKCU sont rarement auditées avec autant d'attention que les Run Keys. Des applications qui instancient fréquemment des objets COM (explorer.exe, Office, Task Scheduler, etc.) offrent de nombreuses opportunités de COM hijacking. Des outils comme COMHijackToolkit automatisent la recherche d'opportunités sur un système cible.