CobaltStrike BOF

مجموعة من ملفات BOF الخاصة بـ beacon.

1 ) الحركة الجانبية باستخدام DCOM

برهان مفهوم سريع يستخدم DCOM (ShellWindows) عبر ملفات كائنات beacon للحركة الجانبية. يمكنك إما تحديد بيانات الاعتماد أو استخدام المستخدم الحالي. لاستخدام المستخدم الحالي، اترك domain و username و password فارغة. مقالة قصيرة حول استخدام كائنات COM في لغة C يمكن العثور عليها هنا.

2 ) الحركة الجانبية باستخدام WMI - إنشاء Win32_Process

مفاهيم مشابهة للسابقة، ولكنها تجربة تعليمية مثيرة. تم اقتباس الكود من CIA Vault 8. تستخدم هذه الطريقة الفئة Win32_Process.

3 ) الحركة الجانبية باستخدام WMI - اشتراك الأحداث

يستخدم هذا الأسلوب أحداث WMI للحركة الجانبية. تم إنجاز معظم العمل الشاق بواسطة wumb0in

4 ) C2 حسب الطلب

هذا تطبيق لـ C2 حسب الطلب باستخدام BOF الخاص بـ dotnet. سيدخل الـ beacon في حالة سكون حتى يتم تقديم بريد إلكتروني يحتوي على كلمة معينة (في الموضوع أو النص). بهذه الطريقة، سيتصل الـ beacon بالمنزل فقط عندما تريده ذلك. عندما يتصل الـ beacon بالمنزل، سيتصل بأي وقت نوم تم تكوينه في الملف الشخصي القابل للتشكيل. عند الانتهاء، يمكنك تشغيل BOF مرة أخرى وسيدخل الـ beacon في حالة سكون حتى ترسل بريدًا إلكترونيًا آخر. كميزة إضافية، سيتم حذف البريد الإلكتروني الذي يحتوي على الكلمة المعينة قبل أن يتم إخطار المستخدم به.

تعليمات

1 ) قم بتنزيل مشروع BOF .NET (تحية لـ CCob على العمل الرائع!) واتبع دليل CCob هنا لتحميل الـ dll في الـ beacon

2 ) قم بتنفيذه باستخدام التالي: bofnet_execute On_Demand_C2_BOF.OnDemandC2Class subject COVlD-19*

3 ) الآن، للحصول على رد اتصال من beacon الخاص بك، يمكنك إرسال بريد إلكتروني مثل [SUSPECTED SPAM] The new COVlD-19 update

سيتم توجيه البريد الإلكتروني مباشرة إلى العناصر المحذوفة وسيعود الـ beacon للاتصال بالمنزل مرة أخرى!

*هذا هو COVLD-19 مع حرف L صغير لضمان التفرد

يمكنك أيضًا تحديد خيار النص مثل التالي bofnet_execute On_Demand_C2_BOF.OnDemandC2Class body "it can also be a sentence!"

إذا قمت بذلك، فسيتم تشغيل التطبيق فقط إذا كان نص البريد الإلكتروني يحتوي على "it can also be a sentence!". ومع ذلك، ستتسبب هذه الطريقة في ظهور المطالبة "a program is trying to access email address information" في كل مرة يتم فيها استلام بريد إلكتروني، لذا أوصي باستخدامها فقط إذا كنت تعلم أن هذه الميزة معطلة (من الشائع جدًا رؤيتها معطلة في المؤسسات، لكن OPSEC إضافية لا تضر أبدًا).

لماذا تفعل هذا؟

لقد قمت بنقل هذه التقنيات إلى BOF من أجل تعلم المزيد عن Windows و CobaltStrike والحركة الجانبية. لدي فضول بأن نسخ/لصق أوامر PowerShell أمر ممل.

هل كتبت هذا من الصفر؟

استغرق الأمر بعض الوقت لمعرفة الحركة الجانبية باستخدام DCOM، ولم أجدها منفذة في مشاريع/مستودعات أخرى. ومع ذلك، فإن أجزاء الحركة الجانبية باستخدام WMI تم إنجازها بشكل أساسي بواسطة آخرين. ما قمت به كان تعديلات طفيفة ونقلها إلى BOF.

ملاحظة حول الجودة

أنا لست مطورًا متمرسًا بعد، لذا استخدم بحذر. قبل دفع هذه البرامج النصية إلى GIT، تم اختبارها في بيئة مؤسسية حيث يتم توفير خدمة MDR شبكية، ولم يتم إطلاق أي تنبيهات. ومع ذلك، فمن البديهي أنه يجب عليك تعديل البرامج النصية واختبارها قبل تشغيلها في مهامك. إذا كنت بحاجة إلى مساعدة، فلا تتردد في الاتصال بي. أيضًا، إذا كنت مهتمًا بوجود نصوص aggressor لهذه BOF، فيرجى إبلاغي بذلك!

هل يمكنني/يمكننا التواصل معك؟

نعم، عبر تويتر أو البريد الإلكتروني

هل يمكنني/يمكننا مساعدتك؟

نعم، بنجمة، أو إعادة تغريدة، أو بدعوتي إلى فريقك الأحمر (Red Team) بعد تخرجي من الجامعة.

شكر وتقدير

شكر كبير لـ rsmudge على دعمه المستمر واستجابته للأسئلة. كانت المقالات التي كتبها domchell بمثابة مقدمة رائعة وساعدت في تشكيل أولوياتي.