CobaltBus

تكامل C2 الخارجي مع Azure Servicebus، حركة مرور C2 عبر Azure Servicebus

الإعداد

1. إنشاء Azure Service Bus
2. إنشاء سياسة وصول مشتركة (سلسلة اتصال) يمكنها الإرسال والاستماع فقط
3. قم بتعديل المتغير الثابت connectionString في مشاريع Beacon C# ليطابق قيمة "سلسلة الاتصال الأساسية" لسياسة الوصول المشتركة التي تم إنشاؤها في الخطوة 2.
4. يجب تحديث نفس المتغيرات لمشروع CobaltBus، ولكن يجب استخدام "سلسلة الاتصال الأساسية" لسياسة الوصول المشتركة "RootManageSharedAccessKey". (تتطلب الإذن "إدارة")
5. قم بإعداد Cobalt وابدأ مستمع C2 خارجي على المنفذ 4444، 127.0.0.1 (يمكن تغييره عن طريق تعديل متغيرات ExternalC2Port و ExternalC2Ip في مشروع C#)

فيديو توضيحي

كيف يعمل؟

ثم سيقوم الثنائي CobaltBus (المبني على DotNetCore) والذي يتكامل مع ExternalC2 الخاص بـ CobaltStrike، بإنشاء قاعدة بيانات Sqlite محلية لتتبع العديد من المنارات (beacons). سيتم التقاط الرسائل الواردة إلى CobaltBus وكتابتها في قاعدة البيانات. سيتم إنشاء قاعدتي البيانات "CobaltBus.db" و "CobaltBus-log.db" في الدليل الذي يعمل منه ملف CobaltBus.dll. بمجرد تشغيل ثنائي Beacon، سيدفع رسالة "INITIALIZE" إلى قائمة الانتظار baseQueueName، مع BeaconId و Pipename تم إنشاؤهما عشوائياً. سيقوم معالج CobaltBus بعد ذلك بالتقاط ذلك، وإنشاء قائمتين جديدتين والانتقال إليهما بناءً على BeaconId المرسل، وطلب شيلكود التجهيز (stager shellcode) من CobaltStrike، ودفعه مرة أخرى إلى القائمة الجديدة كرسالة "INJECT". من هنا، يقوم مشروع Beacon بحقن الشيلكود الملتقط في الذاكرة وإنشاء اتصال مع منارة CobaltStrike عبر اسم الأنبوب المُنشأ. عند إصدار أمر من CobaltBus، يتم دفعه إلى قائمة الانتظار الخاصة بالمنارة وإلى اسم أنبوب المنارة.