CobaltBus

Cobalt Strike External C2 Integration mit Azure Servicebus, C2-Traffic via Azure Servicebus

Einrichtung

1. Erstellen Sie einen Azure Service Bus
2. Erstellen Sie eine Shared Access Policy (Verbindungszeichenfolge), die nur Senden und Empfangen kann
3. Bearbeiten Sie die statische connectionString-Variable in den Beacon C#-Projekten, sodass sie dem Wert der "Primary Connection String" für die in Schritt 2 erstellte Shared Access Policy entspricht.
4. Die gleichen Variablen müssen für das CobaltBus-Projekt aktualisiert werden, jedoch muss die "Primary Connection String" für die Shared Access Policy "RootManageSharedAccessKey" verwendet werden. (Benötigt die "manage"-Berechtigung)
5. Richten Sie Cobalt ein und starten Sie einen externen C2-Listener auf Port 4444, 127.0.0.1 (kann durch Bearbeiten der Variablen ExternalC2Port und ExternalC2Ip im C#-Projekt geändert werden)

Demo-Video

Wie funktioniert es?

Die CobaltBus DotNetCore-Binärdatei, die in CobaltStrikes ExternalC2 integriert ist, erstellt eine lokale SqliteDB, um mehrere Beacons zu verfolgen. Die eingehenden Nachrichten an CobaltBus werden erfasst und in die Datenbank geschrieben. Die Datenbanken mit den Namen "CobaltBus.db" und "CobaltBus-log.db" werden im Verzeichnis erstellt, aus dem CobaltBus.dll ausgeführt wird. Sobald eine Beacon-Binärdatei ausgeführt wird, sendet sie eine "INITIALIZE"-Nachricht an die baseQueueName-Warteschlange mit einer zufällig generierten BeaconId und einem Pipename. Der CobaltBus-Handler erfasst dies, erstellt zwei neue Warteschlangen basierend auf der gesendeten BeaconId und wechselt in diese, fordert Stager-Shellcode von CobaltStrike an und sendet ihn als "INJECT"-Nachricht zurück in die neue Warteschlange. Von hier aus injiziert das Beacon-Projekt den erfassten Shellcode in den Speicher und stellt eine Verbindung zum CobaltStrike-Beacon über den generierten Pipe-Namen her. Wenn ein Befehl von CobaltBus ausgegeben wird, wird er in die entsprechende Beacon-Warteschlange und dann in den Beacon-Pipe-Namen verschoben.

Opsec-Überlegungen

Der aktuelle Nachrichtenfluss hat mehrere Mängel, die behoben werden müssten, bevor ich ihn für reale Operationen in Betracht ziehen würde. Betrachten Sie dies als einen schmutzigen POC. Wenn es nur eine Maus und einen C2-Experten gäbe, der dies sicher nutzbar machen könnte....

Danksagungen

Großer Dank gilt der Arbeit von @ryHanson https://github.com/ryhanson/ExternalC2