سكريبت Aggressor للفحص الصحي لـ Beacon

Joe Vest (تويتر: @joevest)

الوصف

يستخدم هذا السكريبت aggressor حقل الملاحظات (note field) الخاص بـ beacon للإشارة إلى الحالة الصحية للـ beacon. يتم ذلك عن طريق ...

• تتبع زمن السكون/الاهتزاز الحالي لكل beacon
• حساب الحالة الصحية بناءً على "أقصى وقت متوقع لتسجيل الدخول"
• تحديث حقل الملاحظات برمز مناسب كل دقيقة باستخدام الحدث heartbeat_1m
• وضع علامة "جديد" على الـ beacons الجديدة مع وقت الوصول
• إضافة معرف الـ beacon ومعرف العملية (PID) إلى رسالة سجل الحدث الأولي للـ beacon

العرض التوضيحي

عرض توضيحي على يوتيوب

الفحوصات الصحية والرموز

☑ - رمز يشير إلى أن الـ beacon نشط ويعمل

يُحسب عندما يكون آخر تسجيل دخول أقل من أقصى وقت متوقع لتسجيل الدخول (sleep + (sleep * .01 * jitter))

أي، beacon مع sleep 300 20 سيكون أقصى وقت متوقع لتسجيل الدخول هو 360 ويُحسب كالتالي 300 + (300 * .01 * 20).

💀 - رمز يشير إلى أن الـ beacon قد مات

يُحسب عندما يكون وقت آخر تسجيل دخول أكبر من أقصى وقت متوقع لتسجيل الدخول * 2. يُعرف هذا بـ "وقت الموت".

أي، beacon مع sleep 300 20 سيكون وقت الموت هو 720.

❎ - رمز يشير إلى أن الـ beacon قد قُتل بواسطة مشغل.

إذا كانت beacon['alive'] خاطئة (false)، فهذا يعني أن مشغلًا قد قتل/أخرج هذا الـ beacon وأن الـ beacon قد أقر أمر الخروج.

⚠ - رمز يشير إلى أن الـ beacon يحتضر

يُحسب عندما يكون آخر تسجيل دخول أكبر من أقصى وقت متوقع لتسجيل الدخول وأقل من وقت الموت.

⏸ - رمز يشير إلى أن الـ beacon متوقف مؤقتًا.

هذا هو beacon مرتبط (linked beacon) تم فصله (disconnected) لكنه لا يزال يُعتبر حيًا. تعتمد هذه الـ beacons على أحد الوالدين (parent) للتواصل. بدلاً من وضع علامة موت عليها، يتم وضع علامة توقف مؤقت. لا توجد طريقة جيدة لتتبع عمليات الـ beacons المنفصلة.

يوضح ما يلي شكل هذه الرموز في عميل Cobalt Strike.

تم إضافة معرف الـ beacon ومعرف العملية (PID) إلى رسالة سجل الحدث الأولي للـ beacon.

الاستخدام

قم بتحميل ملف beaconhealth.cna من خلال مدير السكريبتات (script manager).

استخدم الدالة get_BeaconHealthCheck_settings في وحدة تحكم السكريبت (script console) لعرض متتبع زمن السكون/الاهتزاز الخاص بـ beacon.

ما يجب أن تعرفه عن السكريبت

• يستخدم حقل الملاحظات (Note field). يمكنك تعديله كما يحلو لك. سيتم تحديث الحرف الأول من الملاحظة أثناء الفحص الصحي بالرمز المناسب.
• الـ beacons المرتبطة (linked beacons) ليس لديها زمن سكون (sleep). يتم تتبع زمن السكون بواسطة الوالد (parent) الخاص بالـ beacon المرتبط.
• لا يتم التحقق من إعدادات السكون قبل تتبعها. قد يؤدي ضبط السكون على beacon ميت إلى تغيير الرمز قبل معالجة السكون الفعلي بواسطة الـ beacon.
• تم تصميم الفحص الصحي لمراقبة الـ beacons التي تعمل لفترات أطول.
  • يتم قياس الحالة الصحية كل دقيقة
  • قد يكون هذا لا يزال عدوانيًا للغاية
  • يمكنك ضبط التوقيت عن طريق تغيير حدث ضربات القلب (heartbeat event) الذي يبدأ الفحص.
• قاعدة بيانات التتبع ليست ثابتة (persistent). إذا أغلقت عميل Cobalt Strike وأعدت الاتصال، فسيتم تحديث قاعدة البيانات وقد يتم وضع علامة جديد (NEW) على الـ beacons.