kuwaitist/astral_projectionCobalt Strike UDRL ينفذ طمس وحدات متقدم باستخدام VEH لاعتراض المكالمات، وإلغاء تعيين الوحدات أثناء السكون، وإعادة تعيين وحدات جديدة لتجنب مؤشرات الاختراق (IOCs).
الإسقاط النجمي هو UDRL (مُحمل عاكس مُعرف من قبل المستخدم) لـ Cobalt Strike، يقوم بعملية استبدال متقدمة للوحدات (module stomping).
يقوم UDRL بتحميل وحدة باستخدام LoadLibraryExW، ثم يتلاعب بداخليتها عن طريق تعيين VEH لاعتراض الاستدعاءات الاستراتيجية التي تسمح له بسرقة مؤشر القسم الخاص بـ DLL الضحية وترقية حقوق الوصول الخاصة بها لاستخدامها لاحقًا في قناع النوم. أثناء النوم، يقوم بإلغاء تعيين الوحدة مع الحفاظ على إدخالات PEB سليمة، ثم يعيد تعيين وحدة جديدة لتجنب أي مؤشرات اختراق (IOCs) أثناء النوم.
تم بناء هذا المشروع باستخدام Crystal Palace. تم اقتباس بعض الكود من مشروع Crystal-Kit.
يمكن العثور على مقالة تقنية تغطي التقنيات المستخدمة بالتفصيل هنا.
stage {
set sleep_mask "false";
set cleanup "true";
transform-obfuscate { }
}
post-ex {
set cleanup "true";
set smartinject "true";
}
crystalpalace.jar إلى دليل عميل Cobalt Strike الخاص بك.Astral_Projection.cna.