Zusammenfassung

Cobalt Strike enthält eine neue / experimentelle Funktion namens external_c2. Diese umgeht die malleable profiles und ermöglicht es dem Entwickler, eigene Kanäle zu erstellen. Dieser Code ist ein POC, der sich letztendlich als Lösung für ein reales Problem herausstellte.

Codeinhalt

c2file.c: eine C-Implementierung des Clients (des Prozesses, der mit Beacon kommuniziert)
c2file_dll.c, c2file_dll.h, c2file.py: Eine Python-Implementierung des Clients (unter Verwendung einer DLL, der Prozess, der mit Beacon kommuniziert), die eine schnelle Entwicklung komplexer Kanäle ermöglicht
python_c2ex.py: Der Server, der mit dem external_c2-Plugin des Teamservers kommuniziert.
externalc2_start.cna: das Skript, das benötigt wird, um external_c2 auf dem Teamserver zu starten.

Blog

Lies unseren Blog für weitere Informationen: https://outflank.nl/blog/2017/09/17/blogpost-cobalt-strike-over-external-c2-beacon-home-in-the-most-obscure-ways/

Installation

i686-w64-mingw32-gcc -shared c2file_dll.c -o c2file.dll

Mitwirkende

Dank an @armitagehacker für die Bereitstellung von Informationen zur external_c2-Funktionalität, einschließlich C-Beispielcode, der im Wesentlichen dafür verantwortlich war, dass dies funktioniert. Dank an Marc Smeets (@mramsmeets), Autor des Blogs und derjenige, der diesen POC in einem echten Auftrag umgesetzt hat. Code geschrieben von Mark Bergman (@xychix), der jedoch stark auf dem anfänglichen C-Beispiel von @armitagehacker basiert.

Lizenz

BSD-Lizenz

external_c2