BeaconHunter

أداة مراقبة وصيد تعتمد على السلوك مبنية بلغة C# تستخدم تتبع ETW. يمكن لفرق الدفاع الأزرق استخدام هذه الأداة لكشف والاستجابة لـ Cobalt Strike beacons المحتملة. يمكن لفرق الهجوم الأحمر استخدام هذه الأداة لدراسة تجاوزات ETW واكتشاف عمليات جديدة تتصرف مثل beacons.

المؤلف: Andrew Oliveau (@AndrewOliveau)

TL;DR

تعيش حمولات Beacon المحقونة في عملية حميدة داخل خيط بحالة Wait:DelayExecution (مرتبطة على الأرجح بـ sleep الخاص بـ Cobalt Strike). ابحث عن جميع العمليات التي تحتوي على خيط في حالة Wait:DelayExecution. ثم استفد من تتبع ETW لمراقبة نشاط الخيوط المشبوهة تحديدًا:

استدعاءات HTTP/HTTPS
استعلامات DNS
نظام الملفات (cd,ls,upload,rm)
إنهاء العملية (kill)
أوامر الصدفة (run,execute)

قم بتقييم السلوك المشبوه. سجل، اعرض، واتخذ إجراءً ضدها.

البناء / التثبيت

مجمّع مسبقاً

الإصدار

أو استخدم git clone ثم انتقل إلى مجلد Release.

إصدار .NET Framework

4.5

Nuggets:

Tools -> NuGet Package Manager -> Package Manager Console

Install-Package ConsoleTables -Version 2.4.2
Install-Package Microsoft.Diagnostics.Tracing.TraceEvent -Version 2.0.64
Install-Package System.Runtime.InteropServices.RuntimeInformation -Version 4.3.0

تشغيل BeaconHunter

افتح PowerShell أو CMD كمسؤول
.\BeaconHunter.exe

المراقبة

درجة الشبكة للـ Beacon

يتم تحديد الدرجة بحساب الفرق الزمني بين استدعاءات beacon (دلتا)، ثم حساب المشتقة الأولى للدلتا، ثم إدخال النتيجة في دالة عكسية 100/x حيث x هي المشتقة الأولى للدلتا. (ملاحظة: ربما توجد طريقة أفضل، لكنها تعمل)