BeaconHunter

Verhaltensbasiertes Überwachungs- und Jagd-Tool, erstellt in C# unter Verwendung von ETW-Tracing. Blue-Team-Mitglieder können dieses Tool nutzen, um potenzielle Cobalt-Strike-Beacons zu erkennen und darauf zu reagieren. Red-Team-Mitglieder können dieses Tool nutzen, um ETW-Bypässe zu erforschen und neue Prozesse zu entdecken, die sich wie Beacons verhalten.

Autor: Andrew Oliveau (@AndrewOliveau)

TL;DR

Beacon-Implants, die in einen benignen Prozess injiziert werden, leben in einem Thread mit einem Wait:DelayExecution-Status (wahrscheinlich bezogen auf Cobalt Strikes sleep). Finden Sie alle Prozesse, die einen Thread im Wait:DelayExecution-Status enthalten. Nutzen Sie dann ETW-Tracing, um verdächtige Thread-Aktivitäten gezielt zu überwachen:

HTTP/HTTPS-Rückrufe
DNS-Abfragen
Dateisystem (cd,ls,upload,rm)
Prozessbeendigung (kill)
Shell-Befehle (run,execute)

Bewerten Sie verdächtiges Verhalten. Protokollieren, anzeigen und ergreifen Sie Maßnahmen dagegen.

Erstellen / Installation

Vorkompiliert

Release

oder git clone und gehen Sie zum Release-Ordner.

.NET Framework-Version

4.5

Nuggets:

Extras -> NuGet-Paket-Manager -> Paket-Manager-Konsole

Install-Package ConsoleTables -Version 2.4.2
Install-Package Microsoft.Diagnostics.Tracing.TraceEvent -Version 2.0.64
Install-Package System.Runtime.InteropServices.RuntimeInformation -Version 4.3.0

Ausführen von BeaconHunter

Öffnen Sie PowerShell oder CMD als Administrator
.\BeaconHunter.exe

ÜBERWACHEN

Netzwerk-Beacon-Score

Der Score wird berechnet, indem die Zeitdifferenz zwischen Beacon-Rückrufen (Delta) ermittelt, dann die erste Ableitung von Delta berechnet und das Ergebnis in eine inverse Funktion 100/x eingesetzt wird, wobei x die erste Ableitung von Delta ist. (Hinweis: Es gibt wahrscheinlich einen besseren Weg, aber es funktioniert.)