inject-assembly – .NET in einem bestehenden Prozess ausführen

Dieses Tool ist eine Alternative zur traditionellen Fork-and-Run-Ausführung für Cobalt Strike. Der Loader kann in jeden Prozess injiziert werden, einschließlich des aktuellen Beacons. Langlaufende Assemblies werden weiter ausgeführt und senden die Ausgabe zurück an den Beacon, ähnlich wie das Verhalten von execute-assembly.

Es gibt zwei Komponenten von inject-assembly:

1. BOF-Initialisierer: Ein kleines Programm, das dafür verantwortlich ist, den Assembly-Loader mit allen übergebenen Argumenten in einen entfernten Prozess zu injizieren. Es verwendet BeaconInjectProcess, um die Injektion durchzuführen, was bedeutet, dass dieses Verhalten in einem Malleable-C2-Profil oder mit Prozessinjektions-BOFs (ab Version 4.5) angepasst werden kann.

2. PIC-Assembly-Loader: Der Hauptteil des Projekts. Der Loader initialisiert die .NET-Laufzeit, lädt die bereitgestellte Assembly und führt sie aus. Der Loader erstellt eine neue AppDomain im Zielprozess, sodass die geladene Assembly nach Abschluss der Ausführung vollständig entladen werden kann.

Die Kommunikation zwischen dem entfernten Prozess und dem Beacon erfolgt über eine Named Pipe. Das Aggressor-Skript generiert einen Pipe-Namen und übergibt ihn dann an den BOF-Initialisierer.

Besondere Merkmale

• Patches Environment.Exit(), um zu verhindern, dass der entfernte Prozess beendet wird.
• .NET-Assembly-Header-Stomping (MZ-Bytes, e_lfanew, DOS-Header, Rich Text, PE-Header).
• Zufällige Pipe-Namensgenerierung basierend auf SourcePoint.
• Keine Blockierung des Beacons, selbst wenn die Assembly in den aktuellen Prozess geladen wird.

Verwendung