Crystal Kit

Dieses Repo ist ein technisches und soziales Experiment, um zu untersuchen, ob das Ersetzen der Evasions-Primitive von Cobalt Strike (Sleepmask/BeaconGate) durch ein Crystal Palace PICO für fortgeschrittene Evasionsszenarien machbar (oder sogar wünschenswert) ist.

Verwendung

1. Deaktiviere die Sleepmask- und Stage-Obfuskationen in Malleable C2.

stage {
    set sleep_mask "false";
    set cleanup "true";
    transform-obfuscate { }
}

post-ex {
    set cleanup "true";
    set smartinject "true";
}

2. Kopiere crystalpalace.jar in das Cobalt-Strike-Client-Verzeichnis.
3. Lade crystalkit.cna.

Hinweise

• Getestet mit Cobalt Strike 4.12.
• Kann mit jeder Post-Ex-DLL-Fähigkeit arbeiten.