pyCobaltHound

التثبيت والاستخدام

لتثبيت pyCobaltHound، قم باستنساخ هذا المستودع. لا تنسَ استنساخ الوحدة الفرعية المضمنة أيضًا!

يمكنك استخدام الأمر التالي:

• git clone https://github.com/NVISOsecurity/pyCobaltHound.git --recurse-submodules

المتطلبات

تأكد من تثبيت المتطلبات التالية بشكل صحيح:

PyCobalt

PyCobalt هي واجهة برمجة تطبيقات بايثون لـ Cobalt Strike. تعرض العديد من وظائف Aggressor لاستخدامها مباشرة من بايثون.

الإعداد

تأكد من تثبيت Python3+. بينما قد يعمل PyCobalt على macOS و Windows أيضًا، إلا أننا اختبرناه فعليًا على Linux فقط.

هناك طريقتان لاستخدام مكتبة PyCobalt البايثونية:

1. تشغيلها مباشرة من المستودع باستخدام PYTHONPATH. يتبع pyCobaltHound هذا الأسلوب، حيث يقوم بتعيين مسار البحث من داخل برنامج بايثون باستخدام المتغير sys.path.
2. تثبيت مكتبة PyCobalt. للقيام بذلك، قم بتشغيل python3 setup.py install. ستحتاج إلى تعديل pycobalthound.py لضمان استخدام المكتبة المثبتة بدلاً من تلك الموجودة في المستودع المضمن.

ملاحظات

• لاحظ أنه لا يوجد ضمان بأن مشروع PyCobalt سيتم صيانته في المستقبل. في الواقع، كان آخر تحديث للمشروع لدمج التغييرات التي تم إدخالها في Cobalt Strike 4.2. نظرًا لأن pyCobaltHound يستخدم فقط وظائف Aggressor الأساسية للتفاعل مع Cobalt Strike ومشغله، فإن هذا لا يمثل مشكلة كبيرة لـ pyCobaltHound.
• الوحدة الفرعية PyCobalt المستخدمة في هذا المشروع هي فرع قمنا به. لكننا لا نتحكم في مستودع PyCobalt.

نصائح وحيل

• يأتي PyCobalt مع بعض أوامر Script Console لإدارة نصوص بايثون الجارية. عند إعادة تحميل برنامج Aggressor النصي، يجب عليك إيقاف نصوص بايثون أولاً صراحةً. وإلا فستستمر في العمل دون فائدة. أثناء تطوير pyCobaltHound لاحظنا أن هذا قد يؤدي أيضًا إلى سلوك غير محدد.

  يمكن إعادة تحميل pyCobaltHound على النحو التالي:

  root@kitploit:~

  aggressor> python-stop-all`
  [pycobalt] Asking script to stop: /root/pycobalthound/pycobalthound.py
  [pycobalt] Script process exited: /root/pycobalthound/pycobalthound.py
  
  aggressor> reload example.cna`
  [pycobalt] Executing script /root/pycobalthound/pycobalthound.py
  

• لكي يعمل PyCobalt بشكل صحيح، يمكنك فقط استدعاء PyCobalt في برنامج Aggressor نصي واحد. ضع ذلك في اعتبارك إذا كنت تريد استخدام pyCobaltHound مع برامج Aggressor النصية الأخرى التي تستخدم PyCobalt. نهجنا هو أن يكون لدينا برنامج Aggressor نصي مع استدعاءات python() و include() لكل أداة تعتمد على PyCobalt.

notify2 (اختياري)

notify2 هي - أو كانت - حزمة لعرض إشعارات سطح المكتب على Linux. كما سنرى لاحقًا، يدعم pyCobaltHound عدة طرق لإعلام المشغل. يتم استخدام notify2 على Linux لإرسال الإشعارات إلى برنامج الإشعارات عبر D-Bus.

لتمكين ذلك، يجب تثبيت notify2 باستخدام:

pip install notify2

الاستخدام في Cobalt Strike

استخدام pyCobaltHound في Cobalt Strike بسيط مثل استيراد برنامج Aggressor النصي pycobalthound.cna إلى عميلك. بمجرد القيام بذلك، يجب أن ترى قائمة pyCobaltHound تظهر في شريط القوائم في Cobalt Strike.

الاستخدام

مراقبة مخزن بيانات الاعتماد

كان الهدف الأولي لـ pyCobaltHound هو مراقبة ذاكرة التخزين المؤقت لبيانات الاعتماد في Cobalt Strike (View > Credentials) بحثًا عن إدخالات جديدة. يقوم بذلك عن طريق التفاعل مع حدث on_credentials الذي يطلقه Cobalt Strike عند إجراء تغييرات على مخزن بيانات الاعتماد.

عند تشغيل هذا الحدث، سيقوم pyCobaltHound بما يلي:

1. تحليل والتحقق من صحة البيانات المستلمة من Cobalt Strike.
2. التحقق مما إذا كان قد قام بالفعل بالتحقيق في هذه الكيانات من خلال مراجعة ذاكرة التخزين المؤقت الخاصة به.
3. إضافة الكيانات إلى ذاكرة تخزين مؤقت للتشغيلات المستقبلية.
4. التحقق مما إذا كانت الكيانات موجودة في قاعدة بيانات BloodHound.
5. وضع علامة على الكيانات كمملوكة.
6. الاستعلام عن قاعدة بيانات BloodHound لكل كيان جديد باستخدام كل من الاستعلامات المضمنة والمخصصة.
7. تحليل النتائج المرتجعة، وإعلام المشغل بأي نتائج مثيرة للاهتمام، وكتابتها في تقرير HTML أساسي.

نظرًا لأن كل هذا يحدث بشكل غير متزامن من عميل Cobalt Strike الرئيسي، فلا ينبغي أن تؤدي هذه العملية إلى حظر واجهة المستخدم الخاصة بك، لذا يمكنك الاستمرار في العمل بينما يقوم pyCobaltHound بالتحقيق في الخلفية.

يستخدم pyCobaltHound ذاكرات تخزين مؤقت منفصلة لكل خادم فريق لمنع المشكلات عند استخدام خوادم فرق متعددة.

إزالة الكيانات من ذاكرة التخزين المؤقت

في بعض الأحيان تكون هناك حالات ترغب فيها في التحقيق في مستخدمين محددين (أو مخزن بيانات الاعتماد بالكامل) مرة أخرى. قد يكون هذا هو الحال عند تحميل بيانات جديدة في قاعدة بيانات BloodHound.

نظرًا لأن pyCobaltHound يجب أن يكون قد قام بالفعل بالتحقيق في (وبالتالي تخزين في ذاكرة التخزين المؤقت) جميع الكيانات في مخزن بيانات الاعتماد الخاص بك، فإنه لن يقوم بتقييمها مقابل هذه البيانات الجديدة دون تدخل المشغل.

تتوفر طريقتان للمشغلين للتحكم في الكيانات المخزنة مؤقتًا.

إزالة كيانات محددة

في الحالات التي ترغب فيها في إزالة كيان معين (أو عدة كيانات) من ذاكرة التخزين المؤقت، يمكنك القيام بذلك في عارض بيانات الاعتماد (View > Credentials). ما عليك سوى تحديد الهدف (الأهداف) والنقر فوق خيار إزالة من ذاكرة التخزين المؤقت ضمن إدخال القائمة pyCobaltHound.

إزالة ذاكرة التخزين المؤقت بالكامل

في الحالات التي ترغب فيها في إزالة جميع الكيانات من ذاكرة التخزين المؤقت، يمكنك القيام بذلك في القائمة الرئيسية لـ pyCobaltHound (Cobalt Strike > pyCobaltHound > Wipe cache). يكون هذا مفيدًا جدًا عندما تريد إعادة تقييم مخزن بيانات الاعتماد بالكامل.

تشغيل التحقيق يدويًا

بعد إزالة أهدافك من ذاكرة التخزين المؤقت، يمكنك حث pyCobaltHound يدويًا على إعادة التحقيق في محتويات مخزن بيانات الاعتماد. يتبع هذا نفس العملية تمامًا كما هو مذكور أعلاه.

إدارة البيكون

يحتوي pyCobaltHound على وظائف للتفاعل مع جلسات البيكون الحالية. يمكن العثور على ذلك في قائمة السياق الخاصة بالبيكون. لاحظ أنه يمكن تنفيذ هذه الأوامر على بيكون واحد أو مجموعة مختارة من البيكونات.

تكون هذه الوظيفة مفيدة بشكل خاص عند التعامل مع المستخدمين وأجهزة الكمبيوتر التي لم يتم اختراق بيانات اعتمادهم (بعد)، ولكنها تحت سيطرتنا فعليًا (على سبيل المثال، لأن لدينا بيكون يعمل تحت رمز الجلسة الخاص بهم).

وضع علامة كمملوكة

يمكن استخدام وظيفة وضع علامة كمملوكة (pyCobaltHound > Mark as owned) لوضع علامة على بيكون (أو مجموعة من البيكونات) كمملوكة في قاعدة بيانات BloodHound.

سيطلب هذا الحوار من المشغل المعلومات التالية:

• نوع العقدة
  • كلاهما: إذا تم تحديد هذا، فسيتم وضع علامة على كل من المستخدم والكمبيوتر المرتبطين بسياق البيكون كمملوكين. سيقوم pyCobaltHound فقط بوضع علامة على أجهزة الكمبيوتر كمملوكة إذا كانت جلسة البيكون تعمل كمسؤول محلي، أو SYSTEM، أو جلسة عالية التكامل كمستخدم آخر.
  • مستخدم: إذا تم تحديد هذا، فسيتم وضع علامة على المستخدم المرتبط بسياق البيكون كمملوك.
  • كمبيوتر: إذا تم تحديد هذا، فسيتم وضع علامة على الكمبيوتر المرتبط بسياق البيكون كمملوك، بغض النظر عن مستوى تكامل الجلسة المرتبطة.
• المجال
  • نظرًا لأن سياق البيكون لا يحتوي على أي مرجع للمجال، يحتاج المشغلون إلى تحديد ذلك بأنفسهم.

التحقيق

يمكن استخدام وظيفة التحقيق (pyCobaltHound > Investigate) للتحقيق في المستخدمين والمضيفين المرتبطين ببيكون (أو مجموعة من البيكونات).

سيطلب هذا الحوار من المشغل المعلومات التالية:

• نوع العقدة
  • كلاهما: إذا تم تحديد هذا، فسيتم التحقيق في كل من المستخدم والكمبيوتر المرتبطين بسياق البيكون. سيقوم pyCobaltHound فقط بالتحقيق في أجهزة الكمبيوتر إذا كانت جلسة البيكون تعمل كمسؤول محلي، أو SYSTEM، أو جلسة عالية التكامل كمستخدم آخر.
  • كلاهما بدون منطق: إذا تم تحديد هذا، فسيتم التحقيق في كل من المستخدم والكمبيوتر المرتبطين بسياق البيكون. سيقوم pyCobaltHound بالتحقيق في جميع الكيانات دون التحقق من مستويات التكامل.
  • مستخدم: إذا تم تحديد هذا، فسيتم وضع علامة على المستخدم المرتبط بسياق البيكون كمملوك.
  • كمبيوتر: إذا تم تحديد هذا، فسيتم وضع علامة على الكمبيوتر المرتبط بسياق البيكون كمملوك، بغض النظر عن مستوى تكامل الجلسة المرتبطة.
• المجال
  • نظرًا لأن سياق البيكون لا يحتوي على أي مرجع للمجال، يحتاج المشغلون إلى تحديد ذلك بأنفسهم.
• إنشاء تقرير
  • إذا تم تحديد هذا الخيار، فسيتم إنشاء تقرير HTML أساسي.

التحقيق في الكيانات

يحتوي pyCobaltHound على وظائف للتحقيق بحرية في الكيانات. يمكن العثور على ذلك في القائمة الرئيسية (Cobalt Strike > pyCobaltHound > Investigate).

تكون هذه الوظيفة مفيدة بشكل خاص عند التعامل مع المستخدمين وأجهزة الكمبيوتر التي لم يتم اختراق بيانات اعتمادهم وليست تحت سيطرتنا.

سيطلب هذا الحوار من المشغل المعلومات التالية:

• الأهداف
  • سلسلة نصية من نوع CSV للكيانات التي يرغب المشغل في التحقيق فيها. يمكن أن تكون مجرد أسماء مستخدمين/أجهزة كمبيوتر (مثل user1) أو FQDNs ([email protected]).
  • ملاحظة: لا تخلط بين الرموز. يمكنك استخدام أسماء المستخدمين/أجهزة الكمبيوتر فقط أو FQDNs فقط!
• المجال مضمن
  • تحدد هذه المعلمة ما إذا كانت سلسلة الهدف المقدمة تحتوي على أسماء مستخدمين/أجهزة كمبيوتر فقط أم FQDNs.
• المجال
  • إذا كانت سلسلة الهدف لا تحتوي على FQDNs، فسيحتاج المشغل إلى الإشارة إلى المجال الذي تنتمي إليه الكيانات المراد التحقيق فيها.
• إنشاء تقرير
  • إذا تم تحديد هذا الخيار، فسيتم إنشاء تقرير HTML أساسي.

الإعدادات

يمكن العثور على قائمة إعدادات pyCobaltHound ضمن Cobalt Strike > pyCobaltHound > Settings.

سيحفظ pyCobaltHound إعداداتك على القرص. في كل مرة يتم فيها إعادة تحميل pyCobaltHound، سيتحقق من وجود ملف إعدادات ويحمل الإعدادات المحفوظة إذا وجدها.

يحفظ pyCobaltHound ملف إعدادات لكل خادم فريق، لذلك من الممكن الحصول على إعدادات مختلفة على خوادم فرق مختلفة.

Neo4j

للمصادقة على قاعدة بيانات BloodHound، سيحتاج pyCobaltHound إلى المعلومات التالية:

• اسم مستخدم Neo4j
• كلمة مرور Neo4j
• رابط Neo4j

ملاحظة: إذا اخترت حفظ إعداداتك بشكل دائم (للحفاظ عليها عبر إعادة تشغيل العميل/المضيف)، فسيقوم pyCobaltHound بإلغاء تسلسل وتخزين بيانات الاعتماد هذه على القرص.

التخزين المؤقت

كما نوقش سابقًا، يستخدم pyCobaltHound التخزين المؤقت للتأكد من أنه لا يؤدي عملاً غير ضروري. يمكن تعطيل هذا التخزين المؤقت في الإعدادات. يكون هذا مفيدًا بشكل خاص عند تطوير استعلامات جديدة حتى لا تضطر إلى إدارة/مسح ذاكرة التخزين المؤقت باستمرار.

الإشعارات

يدعم pyCobaltHound عدة طرق مختلفة لإعلام المشغل بمجرد تحديد كيان ذي اهتمام. من الممكن تعطيل هذه الإشعارات.

الإشعارات الأصلية

افتراضيًا، سيقوم pyCobaltHound بإعلام المشغل باستخدام مربع رسالة Aggressor الافتراضي. يمكن لهذا الخيار أن يعمل في سير عمل المشغل. ومع ذلك، فهي الطريقة الافتراضية لأنها مدعومة على كل منصة يمكنك تشغيل عميل Cobalt Strike عليها.

إشعارات Notify2

يدعم pyCobaltHound أيضًا عرض إشعارات سطح المكتب على Linux. هذا هو خيارنا المفضل لأنه لا يقطع سير عمل المشغل.

التقارير

خلال بعض سير العمل، سيقوم pyCobaltHound بإنشاء تقرير HTML. تم اتخاذ هذا القرار التصميمي لتجنب إغراق المشغل بإشعارات ضخمة في حالة التحقيق في الكثير من الكيانات. سيتم إنشاء هذه التقارير في مجلد reports. من الممكن تعطيل إنشاء التقرير.

مزامنة الاستعلامات

افتراضيًا، سيقوم pyCobaltHound بمزامنة الاستعلامات عبر خوادم الفريق باستخدام ملف مركزي لجميع الإعدادات المتعلقة بالاستعلامات. هذا يعني أن الاستعلامات التي يتم تمكينها أو إضافتها أو حذفها على خادم فريق واحد سيتم أيضًا تمكينها أو إضافتها أو حذفها في الاستعلامات التي يتم إجراؤها بواسطة خوادم الفريق الأخرى. هذا في الغالب خيار للراحة ويمكن تعطيله، وهو مفيد في الحالات التي تقوم فيها بتشغيل استعلامات خاصة بالعملية لا تنطبق على جميع خوادم الفريق المتصلة بها.

عند التعطيل

عند تعطيل مزامنة الاستعلامات، سيتحقق pyCobaltHound من وجود ملفات استعلام فريدة. إذا كانت موجودة، فسيقوم بتحميلها واستخدام هذه الاستعلامات في سير العمل الخاصة به. إذا كانت الملفات غير موجودة، فسيقوم بإنشائها وتحميلها. سيستمر هذا الإعداد من خلال عمليات إعادة التحميل.

عند التمكين

عند تمكين مزامنة الاستعلامات، سيتحقق pyCobaltHound من وجود ملفات استعلام فريدة. إذا كانت موجودة، فسيتم مطالبة المشغل باختيار.

لدى المشغل الخيارات التالية:

• حذف
  • إذا تم اختياره، سيقوم pyCobaltHound ببساطة بإزالة ملفات الاستعلام الفريدة. سيتم فقدان جميع الاستعلامات المخصصة.
• دمج
  • إذا تم اختياره، سيحاول pyCobaltHound دمج ملفات الاستعلام الفريدة في ملفات الاستعلام العامة. قبل دمج استعلام، سيتحقق مما إذا لم يكن هناك استعلام في الملف العام بنفس الاسم أو نفس عبارة Cypher. في حالة حدوث أي تعارضات في الدمج، سيتم سؤال المشغل عما إذا كان يريد الاحتفاظ بالاستعلامات غير المدمجة. سيتم حفظها في ملف منفصل. ثم ستتم إزالة ملفات الاستعلام الفريدة.
• احتفاظ
  • إذا تم اختياره، سيقوم pyCobaltHound فقط بترك ملفات الاستعلام الفريدة. سيتم الاحتفاظ بجميع الاستعلامات المخصصة وسيتم تحميل الملفات مرة أخرى إذا تم تعطيل مزامنة الاستعلامات مرة أخرى.

الاستعلامات

الاستعلامات المضمنة

يدعم pyCobaltHound حاليًا الاستعلامات المضمنة التالية:

• المستخدم (user-queries.json)
  • المسار إلى مسؤولي المجال
  • المسار إلى الأهداف عالية القيمة
• الكمبيوتر (computer-queries.json)
  • المسار إلى الأهداف عالية القيمة

إدارة الاستعلامات

يمكن إدارة الاستعلامات المختلفة التي يستخدمها pyCobaltHound من خلال القائمة الرئيسية (Cobalt Strike > pyCobaltHound > Queries).

تمكين/تعطيل الاستعلامات

يتيح حوار تحديث الاستعلامات للمشغلين تمكين/تعطيل استعلامات محددة. عند استخدام هذا الحوار، سيُطلب من المشغل أولاً تحديد نوع الاستعلامات التي يريد تحديثها. يتم ذلك لعرض/تحميل الاستعلامات الصحيحة ديناميكيًا خلال سير العمل هذا.

بعد الرد على الحوار الأول، سيتم عرض قائمة بجميع الاستعلامات المتاحة من هذا النوع للمشغل. هنا يمكنهم اختيار الاستعلامات التي يرغبون في تمكينها/تعطيلها.

خيار نوع الاستعلام هو حل بديل قبيح لتمرير نوع الاستعلام إلى الوظيفة التالية في سير العمل وليس له علاقة بالمشغل.

إضافة استعلامات مخصصة

تتيح وظيفة إضافة استعلام للمشغلين إضافة/إزالة استعلاماتهم الخاصة لضبط قدرات التحقيق لـ pyCobaltHound. يمنحهم هذا المرونة لتكييف pyCobaltHound أثناء العمليات لمراعاة الأهداف الخاصة بالعملية (المستخدمين، المضيفين، إلخ).

سيطلب هذا الحوار من المشغل المعلومات التالية:

• الاسم
  • اسم الاستعلام المخصص. سيتم استخدام هذا في العديد من القوائم والتقارير خلال سير عمل pyCobaltHound.
• استعلام Cypher
  • استعلام Cypher الذي يحتاج pyCobaltHound إلى تنفيذه. المشغلون أحرار إلى حد كبير في تحديد استعلاماتهم. المتطلبات الوحيدة هي ما يلي:
    • يقوم pyCobaltHound بإنشاء سلسلة Cypher التالية ديناميكيًا بناءً على أسماء الكيانات التي يحقق فيها:
      • WITH [account names here] AS samAccountNames UNWIND samAccountNames AS names
      • سيتم استبدال العنصر النائب {statement} بهذه السلسلة.
      • تأخذ سلسلة Cypher هذه أسماء samAccountNames للأهداف وتعيينها إلى متغير "names".
      • لجعل استعلامك يعمل مع هذا، يجب عليك التأكد من أنه يبدأ بالعبارة التالية:
        • MATCH (x) WHERE x.name STARTS WITH names
        • أوصي بالتصفية (مثل (x:User)) اعتمادًا على نوع الاستعلام الذي تضيفه.
    • يتوقع pyCobaltHound أن يقوم الاستعلام بإرجاع مجموعة مميزة من أسماء المستخدمين.
      • للقيام بذلك، قم بإنهاء استعلامك بـ RETURN DISTINCT (x.name)
    • للحصول على بعض الأمثلة، راجع الاستعلامات المضمنة.
• عنوان التقرير
  • العنوان الذي يستخدمه pyCobaltHound للاستعلام المخصص. سيتم استخدام هذا في الإشعارات والتقارير خلال سير عمل pyCobaltHound.
    • الشرط الوحيد هو أن تحتوي الجملة على عنصر نائب {number} والذي سيستبدله pyCobaltHound بعدد نتائج هذا الاستعلام.
• الحالة
  • تحدد هذه المعلمة ما إذا كان الاستعلام قد تم إنشاؤه في حالة تمكين أو تعطيل.
• نوع الاستعلام
  • نوع الاستعلام الذي تضيفه. سيحدد هذا مجموعة الاستعلامات التي يتم تحريرها.

حذف الاستعلامات المخصصة

يسمح حوار حذف استعلام للمشغلين بإزالة استعلامات مخصصة محددة من pyCobaltHound. عند استخدام هذا الحوار، سيُطلب من المشغل أولاً تحديد نوع الاستعلام الذي يريد إزالته. يتم ذلك لعرض/تحميل الاستعلامات الصحيحة ديناميكيًا خلال سير العمل هذا.

بعد الرد على الحوار الأول، سيتم عرض قائمة بجميع الاستعلامات المتاحة من هذا النوع للمشغل. هنا يمكنهم اختيار الاستعلامات التي يرغبون في إزالتها.

خيار نوع الاستعلام هو حل بديل قبيح لتمرير نوع الاستعلام إلى الوظيفة التالية في سير العمل وليس له علاقة بالمشغل.

المراجع

يستخدم pyCobaltHound و/أو يستلهم مما يلي:

• pycobalt من dcsync
• Vampire من Coalfire-Research
• ANGRYPUPPY من vysecurity
• Max من knavesec
• BloodHound من SpecterOps