BokuLoader : Reflektiver Loader für Cobalt Strike

Ein Proof-of-Concept User-Defined Reflective Loader (UDRL), der darauf abzielt, die Evasion-Funktionen von Cobalt Strike nachzubilden, zu integrieren und zu verbessern!

Mitwirkende:

Mitwirkender	Twitter	Bemerkenswerte Beiträge
Bobby Cooke	@0xBoku	Projekt ursprünglicher Autor und Betreuer
Santiago Pecin	@s4ntiago_p	Wesentliche Verbesserungen des Reflective Loaders
Chris Spehn	@ConsciousHacker	Aggressor-Scripting
Joshua Magri	@passthehashbrwn	IAT-Hooking
Dylan Tran	@d_tranman	Reflective Call-Stack-Spoofing
James Yeung	@5cript1diot	Indirekte Systemaufrufe

Überlegungen zur Verwendung des UDRL

Der integrierte Cobalt Strike-Reflective-Loader ist robust und unterstützt alle Malleable-PE-Evasion-Funktionen, die Cobalt Strike bietet. Der größte Nachteil bei der Verwendung eines benutzerdefinierten UDRL besteht darin, dass Malleable-PE-Evasion-Funktionen möglicherweise nicht out-of-the-box unterstützt werden.

Das Ziel des öffentlichen BokuLoader-Projekts ist es, Red Teams bei der Erstellung eines eigenen Cobalt-Strike-UDRL zu unterstützen. Das Projekt soll alle sinnvollen CS-Malleable-PE-Evasion-Funktionen unterstützen. Einige Evasion-Funktionen nutzen die CS-Integration, andere wurden komplett neu erstellt, und einige werden nicht unterstützt.

Bevor Sie dieses Projekt in irgendeiner Form verwenden, sollten Sie testen, ob die Evasion-Funktionen wie erwartet funktionieren. Zwischen dem C-Code und dem Aggressor-Skript können unterschiedliche Betriebssystemversionen, Compiler und Java zu unterschiedlichen Ergebnissen führen.

Evasion-Features

BokuLoader-spezifische Evasion-Features

• Reflective Callstack-Spoofing mittels synthetischer Frames.
• Benutzerdefinierter ASM/C-Reflective-Loader-Code
• Indirekte NT-Syscalls mittels HellsGate- und HalosGate-Techniken
  • Alle Änderungen des Speicherschutzes für alle Allokationsoptionen werden über indirekte Syscalls an NtProtectVirtualMemory durchgeführt.
• obfuscate "true" mit benutzerdefinierter UDRL-Aggressor-Skript-Implementierung.
• NOHEADERCOPY
  • Der Loader kopiert keine Rohdaten der Beacon-DLL in die virtuelle Beacon-DLL. Die ersten 0x1000 Bytes sind Nullen.
• XGetProcAddress zur Auflösung von Symbolen
  • Verwendet nicht Kernel32.GetProcAddress
• xLoadLibrary zur Auflösung der Basisadresse von DLLs und zum Laden von DLLs
  • Für geladene DLLs wird die Basisadresse aus TEB->PEB->PEB_LDR_DATA->InMemoryOrderModuleList bezogen.
  • Verwendet nicht Kernel32.LoadLibraryA
• Caesar-Chiffre zur Zeichenfolgenverschleierung
• 100k UDRL-Größe
• Die Namen der Import-DLLs und die Namen der Importeinträge werden in der virtuellen Beacon-DLL überschrieben.

Unterstützte Malleable-PE-Evasion-Features

Befehl	Option(en)	Unterstützt
allocator	HeapAlloc, MapViewOfFile, VirtualAlloc	Alle unterstützt durch BokuLoader-Implementierung
module_x64	string (DLL-Name)	Unterstützt durch BokuLoader-Implementierung. Die gleichen DLL-Stomping-Anforderungen wie bei der CS-Implementierung gelten
obfuscate	true/false	HTTP/S-Beacons werden durch BokuLoader-Implementierung unterstützt. SMB/TCP wird derzeit für obfuscate true nicht unterstützt. Details im Issue. Hilfe wird angenommen, wenn du es beheben kannst :)
entry_point	RVA als Dezimalzahl	Unterstützt durch BokuLoader-Implementierung
cleanup	true	Unterstützt durch CS-Integration
userwx	true/false	Unterstützt durch BokuLoader-Implementierung
sleep_mask	(true/false) oder (Sleepmask Kit+true)	Unterstützt. Bei Verwendung des Standard-„sleepmask true“ (ohne Sleepmask Kit) setze „userwx true“. Bei Verwendung des Sleepmask Kits, das RX-Beacon.text-Speicher unterstützt (src47/Ekko), setze „sleepmask true“ && „userwx false“.
magic_mz_x64	4-Zeichen-String	Unterstützt durch CS-Integration
magic_pe	2-Zeichen-String	Unterstützt durch CS-Integration
transform-x64 prepend	escaped hex string	BokuLoader.cna Aggressor-Skript-Modifikation
transform-x64 strrep	string string	BokuLoader.cna Aggressor-Skript-Modifikation
stomppe	true/false	Nicht unterstützt. BokuLoader kopiert keine Beacon-DLL-Header. Die ersten 0x1000 Bytes der virtuellen Beacon-DLL sind 0x00
checksum	number	Experimentell. BokuLoader.cna Aggressor-Skript-Modifikation
compile_time	date-time string	Experimentell. BokuLoader.cna Aggressor-Skript-Modifikation
image_size_x64	decimal value	Nicht unterstützt
name	string	Experimentell. BokuLoader.cna Aggressor-Skript-Modifikation
rich_header	escaped hex string	Experimentell. BokuLoader.cna Aggressor-Skript-Modifikation
stringw	string	Nicht unterstützt
string	string	Nicht unterstützt

Test

• (22.02.23) Alle 4 Allokator-Methoden getestet mit threatexpress/malleable-c2/master/jquery-c2.4.7.profile

Projektursprünge

• Basierend auf Stephen Fewers unglaublichem Reflective-Loader-Projekt:
  • https://github.com/stephenfewer/ReflectiveDLLInjection
• Ursprünglich erstellt während der Arbeit an Renz0hs Reflective-DLL-Videos aus dem Sektor7 Malware Developer Intermediate (MDI) Course

Verwendung

1. Kompiliere die BokuLoader-Objektdatei mit make
2. Starte deinen Cobalt Strike Team Server
3. Importiere innerhalb von Cobalt Strike das Aggressor-Skript BokuLoader.cna
4. Generiere den x64-Beacon (Angriffe -> Pakete -> Windows Executable (S))
5. Verwende die Skript-Konsole, um sicherzustellen, dass BokuLoader in den Beacon-Build implementiert wurde

• Unterstützt keine x86-Option. Die x86-Binärdatei ist die ursprüngliche Reflective-Loader-Objektdatei.
• Die Erzeugung von RAW-Beacons funktioniert sofort. Bei Verwendung des Artifact-Kits für den Beacon-Loader muss die Variable stagesize größer als der Standardwert sein.
  • Weitere Informationen findest du in der Cobalt Strike-Dokumentation zum benutzerdefinierten Reflective Loader

Erkennungshinweise

Hartcodierte Zeichenfolgen

• BokuLoader ändert einige häufig erkannte Zeichenfolgen in neue hartcodierte Werte. Diese Zeichenfolgen können zur Signatur von BokuLoader verwendet werden:

Ursprünglicher Cobalt-Strike-String	BokuLoader-Cobalt-Strike-String
ReflectiveLoader	BokuLoader
Microsoft Base Cryptographic Provider v1.0	12367321236742382543232341241261363163151d
(admin)	(tomin)
beacon	bacons

Speicherzuweiser