GeolocationBOF

BOF لـ Cobalt Strike يحاول استرداد إحداثيات الموقع الجغرافي لنظام Windows دون fork & run. يستخدم أولاً واجهة برمجة تطبيقات WinRT Geolocator ويعود إلى واجهة ILocation القديمة.

التنفيذ

BOF بسيط يستخدم تحديد الموقع الجغرافي لـ WinRT مع العودة إلى ILocation القديمة. سيقوم بتعديل مفاتيح التسجيل التالية:

• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location\NonPackaged\<encoded process path>
  • Value = Allow
• للمسؤول فقط: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• للمسؤول فقط: HKLM\SOFTWARE\Policies\Microsoft\Windows\LocationAndSensors
  • DisableLocation = 0
  • DisableWindowsLocationProvider = 0
• للمسؤول فقط: HKLM\SOFTWARE\Policies\Microsoft\Windows\AppPrivacy
  • LetAppsAccessLocation = 1
• للمسؤول فقط: HKLM\SYSTEM\CurrentControlSet\Services\lfsvc\Service\Configuration
  • Status = 1

يقوم التنفيذ بصلاحية المسؤول أيضًا بتغيير نوع بدء خدمة lfsvc مؤقتًا إلى البدء عند الطلب ويحاول بدء الخدمة.

جميع التغييرات تُلغى بعد التنفيذ.

التجميع الذاتي

1. قم باستنساخ المستودع باستخدام git clone
2. قم بتشغيل make

الاستخدام

1. قم باستيراد السكريبت GeoLocationBOF.cna إلى Cobalt Strike
2. استخدم الأمر geolocation_bof

beacon> geolocation_bof
[*] Running geolocation_bof by (@codex_tf2)
[+] host called home, sent: 30095 bytes
[+] received output:
latitude=12.34567890
longitude=-12.34567890
accuracy_radius_meters=25.00

ملاحظات

• يجب أن تكون خدمات الموقع في Windows متاحة على الهدف.
• قد تمنع إعدادات خصوصية الموقع، والسياسات، وأجهزة الاستشعار، وتوفر المزوّد الحصول على النتائج.
• مطلوب سياق المسؤول لتمكين إذن الموقع إذا لم يكن ممنوحًا بالفعل
• تغييرات مؤقتة في التسجيل تُجرى لمنح أذونات الموقع وتُستعاد قبل خروج BOF
• لا يتم تنفيذ أي إخفاء - قم بتطبيق إجراءات OPSEC الخاصة بك

لماذا صنعت هذا؟

يهدف هذا BOF إلى توفير طريقة مباشرة داخل العملية لطلب بيانات الموقع الجغرافي لنظام Windows.

الإسناد

• https://github.com/MEhrn00/boflink

إخلاء المسؤولية

إخلاء مسؤولية معتاد هنا، لست مسؤولاً عن أي جرائم ضد الإنسانية قد ترتكبها أو حرب نووية قد تتسبب فيها باستخدام هذه القطعة من الكود السيئ الكتابة.