LSTAR - Aggressor

Ein Plugin, das vom ersten Beacon bis zur Übernahme des Domain Controllers internes Netzwerk-Roaming realisiert

Mit dem Ziel, das CS-Rechtsklickmenü zu vereinfachen und die eigene Integration zu erleichtern, wurden zahlreiche Post-Exploitation-Plugins als Referenz herangezogen

Überarbeitet und erweitert wurden unter anderem das Abrufen hostbezogener Anmeldeinformationen, mehrstufiges Pivoting in internen Netzwerken, verdeckte geplante Aufgaben, AV-bypassendes Mimikatz sowie das Klonen und Hinzufügen von Benutzern

Funktionsmerkmale:

Durchdringt komplexe Netzwerkumgebungen mithilfe der CobaltStrike-Methoden (TCP, SMB, Proxy usw.) zum Online-Bringen von Hosts ohne ausgehenden Netzwerkzugriff
Bietet für Funktionen wie RDP, AddUser und LsassDump mehrere AV-bypassende Ausführungsmethoden für ungewöhnliche Umgebungen
Integriert mehrere AV-bypassende Funktionen wie Schattenbenutzer und verdeckte geplante Aufgaben, die per WinAPI oder per Assembly-In-Memory-Loading ausgeführt werden

Enthält hauptsächlich die folgenden Funktionsmodule:

Vor der Ausführung jedes Moduls wird eine grüne Trennlinie ausgegeben, um die Ausgaben leicht zu lokalisieren und die Effizienz der Zusammenarbeit zu verbessern

WeChat-Benachrichtigungs-Plugin für Online-Meldungen von CobaltStrike-Hosts:

Wenn Sie die kostenlose Methode mit WeChat-Vorlagenachrichten-Push nutzen möchten, besuchen Sie: https://github.com/lintstar/CS-PushPlus

Wenn Sie einen über ServerChan abonnierten WeCom-Push-Kanal haben, besuchen Sie: https://github.com/lintstar/CS-ServerChan

Haftungsausschluss

Dieses Projekt dient ausschließlich der Sicherheitsforschung und legitimen Maßnahmen zur Stärkung der Unternehmenssicherheit. Alle Konsequenzen und Verantwortlichkeiten trägt der Nutzer selbst.

Update 2022.1.15

AV-bypassende Funktionen zum Klonen von Benutzern, Hinzufügen von Benutzern und für geplante Aufgaben hinzugefügt
Identifikationscode und Verifizierungscode der neuesten Sunflower-Version abrufen
Multiprotokoll-Liveness-Erkennung von Ladon 9.1.1 und weitere Funktionen integriert
Funktionen kategorisiert und das sekundäre Menü des Plugins vereinfacht

InfoCollect

Häufig verwendete Befehle wurden nach Szenarien kategorisiert

SharpGetInfo

Integriert die neueste öffentlich verfügbare Version 9.1.1 von Ladon

AntiVirusCheck

AV-Informationen werden lokal in der Beacon-Statusleiste ausgegeben

Implementierungsprinzip: https://blog.csdn.net/weixin_42282189/article/details/121090055

IntrScan

Die Multiprotokoll-Liveness-Erkennung von Ladon wurde hinzugefügt (SMB, WMI, SNMP, HTTP, DNS, MAC, MSSQL)

Kann bis zu einem gewissen Grad interne Netzwerkressourcen hinter Firewalls erkennen: Erkennung aktiver Hosts hinter Firewalls mithilfe von MAC

Erkennung aktiver IPs

AuthPromote

BadPotato (BeichenDream)

Der Fehler, dass nur whoami ausgeführt werden konnte, wurde behoben. Nun kann über Parameter eine Session mit System-Rechten gestartet werden.

Badpotato (Ladon)

Ladon-Badpotato hinzugefügt

SweetPatato (Ladon)

Hinweis: Tests haben ergeben, dass die beiden oben genannten Privilege-Escalation-Aktionen von AV-Software (z. B. 360) abgefangen und entfernt werden

AuthMaintain

SharpSchTask

【Mit Vorsicht verwenden】 Erstellt mithilfe der Windows-API als Tool verdeckte geplante Aufgaben, umgeht dabei die Blockierung durch Sicherheitssoftware und erreicht so eine persistente Kontrolle.

Projektadresse: https://github.com/0x727/SchTask_0x727