codextf2/cobaltstrike-sleepmask-yaraJust a git repo for the sleepmask detection rule i found in https://codex-7.gitbook.io/codexs-terminal-window/blue-team/detecting-cobalt-strike/sleep-mask-kit-iocs
مجرد مستودع Git لقاعدة كشف sleepmask التي وجدتها في https://codex-7.gitbook.io/codexs-terminal-window/blue-team/detecting-cobalt-strike/sleep-mask-kit-iocs
خلاصة الأمر هي أن هذه البايتات جزء من sleep mask kit قسم .text غير المعتّم نفسه، ولا يتم تعتيمها أثناء النوم. مع تقنية sleepmasking المدمجة، لا يمكن تشفير هذه المنطقة لأنها يجب أن تبقى قابلة للتنفيذ لإيقاظ الـ beacon. التقنيات الأحدث مثل استخدام Timers و NtContinue APCs لا تعاني من هذه المشكلة. يعمل هذا التوقيع فقط مع تعطيل إعداد "userwx"، وفقًا لمنشور MDSec هذا: https://www.mdsec.co.uk/2022/07/part-2-how-i-met-your-beacon-cobalt-strike/
طُوّر واختُبر على CobaltStrike 4.6.1
