kuwaitist/astral_projectionCobalt Strike UDRL, das fortgeschrittenes Module Stomping mittels VEH durchführt, um Aufrufe abzufangen, Module während des Schlafens zu entladen und frische Module neu zu laden, um IOCs zu umgehen.
Astral Projection ist ein Cobalt Strike UDRL (User-Defined Reflective Loader), der fortgeschrittenes Module Stomping durchführt.
Der UDRL lädt ein Modul mit LoadLibraryExW, manipuliert dann dessen Interna, indem er einen VEH (Vectored Exception Handler) setzt, um strategische Aufrufe abzufangen, die es ihm ermöglichen, das Section-Handle des Opfer-DLLs zu stehlen und seine Zugriffsrechte für die spätere Verwendung in der Sleep-Maske zu erhöhen. Während des Schlafens wird das Modul entladen, während die PEB-Einträge intakt bleiben, und anschließend ein frisches Modul neu gemappt, um IOCs während des Schlafens zu vermeiden.
Dieses Projekt wurde mit Crystal Palace erstellt. Ein Teil des Codes wurde aus dem Crystal-Kit Projekt übernommen.
Ein technischer Blogbeitrag, der die verwendeten Techniken im Detail behandelt, findet sich hier.
stage {
set sleep_mask "false";
set cleanup "true";
transform-obfuscate { }
}
post-ex {
set cleanup "true";
set smartinject "true";
}
crystalpalace.jar in Ihr Cobalt Strike-Client-Verzeichnis.Astral_Projection.cna.