flangvik/azurec2relayAzure-Funktion, die den Beacon-Datenverkehr von Cobalt Strike mithilfe von anpassbaren C2-Profilen validiert und weiterleitet, ungültige Anfragen an eine Köder-Website umleitet und validierten Datenverkehr über SSH an einen Team-Server weiterleitet.
AzureC2Relay ist eine Azure-Funktion, die Cobalt Strike Beacon-Datenverkehr validiert und weiterleitet, indem eingehende Anfragen anhand eines Cobalt Strike Malleable C2-Profils überprüft werden. Eingehende Anfragen, die nicht den User-Agent, URI-Pfaden, Headern und Abfrageparametern des Profils entsprechen, werden auf eine konfigurierbare Tarn-Website umgeleitet. Der validierte C2-Datenverkehr wird an einen Team-Server innerhalb desselben virtuellen Netzwerks weitergeleitet, das zusätzlich durch eine Netzwerksicherheitsgruppe eingeschränkt wird. So wird nur SSH auf der VM freigegeben.
AzureC2Relay wird mit Terraform-Azure-Modulen sowie einigen lokalen AZ CLI-Befehlen bereitgestellt.
Stellen Sie sicher, dass Terraform, die AZ CLI und die Dotnet Core 3.1-Laufzeit installiert sind.
Windows (PowerShell)
&([scriptblock]::Create((Invoke-WebRequest -UseBasicParsing 'https://dot.net/v1/dotnet-install.ps1'))) -runtime dotnet -version 3.1.0
Invoke-WebRequest 'https://releases.hashicorp.com/terraform/0.14.6/terraform_0.14.6_windows_amd64.zip' -OutFile 'terraform.zip'
Expand-Archive -Path terraform.zip -DestinationPath "$([Environment]::GetFolderPath('ApplicationData'))\TerraForm\"
setx PATH "%PATH%;$([Environment]::GetFolderPath('ApplicationData'))\TerraForm\"
Invoke-WebRequest -Uri https://aka.ms/installazurecliwindows -OutFile .\AzureCLI.msi; Start-Process msiexec.exe -Wait -ArgumentList '/I AzureCLI.msi /quiet'; rm .\AzureCLI.msi
Mac
curl -L https://dot.net/v1/dotnet-install.sh | bash -s -- --runtime dotnet --version 3.1.0
brew update
brew tap hashicorp/tap
brew install hashicorp/tap/terraform
brew install azure-cli
Ubuntu, Debian
curl -L https://dot.net/v1/dotnet-install.sh | bash -s -- --runtime dotnet --version 3.1.0
wget https://releases.hashicorp.com/terraform/0.14.5/terraform_0.14.5_linux_amd64.zip
unzip terraform_0.14.5_linux_amd64.zip
sudo cp terraform /usr/local/bin/terraform
curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash
Kali
curl -L https://dot.net/v1/dotnet-install.sh | bash -s -- --runtime dotnet --version 3.1.0
wget https://releases.hashicorp.com/terraform/0.14.5/terraform_0.14.5_linux_amd64.zip
unzip terraform_0.14.5_linux_amd64.zip
sudo cp terraform /usr/local/bin/terraform
echo "deb [arch=amd64] https://packages.microsoft.com/repos/azure-cli/ stretch main" | sudo tee /etc/apt/sources.list.d/azure-cli.list
curl -L https://packages.microsoft.com/keys/microsoft.asc | sudo apt-key add -
sudo apt-get update && sudo apt-get install apt-transport-https azure-cli
config.tf entsprechend Ihren Anforderungen.az loginterraform init aus.terraform apply -auto-approve aus, um die Infrastruktur bereitzustellen.Sobald Terraform abgeschlossen ist, erhalten Sie den benötigten SSH-Befehl. Der CobaltStrike-Teamserver wird in einer tmux-Sitzung auf der bereitgestellten VM ausgeführt.
Wenn Sie die Infrastruktur nicht mehr benötigen, können Sie sie mit terraform destroy -auto-approve entfernen.