
Remove API hooks from a Beacon process.
Dies ist eine Beacon Object File, um DLLs neu zu laden und ihre Hooks zu entfernen. Der Code stammt aus Cylances Forschung zu „Universal Unhooking“:
https://blogs.blackberry.com/en/2017/02/universal-unhooking-blinding-security-software
Verwendung:
Laden Sie unhook.cna über Cobalt Strike -> Script Manager in Cobalt Strike.
Führen Sie 'unhook' in Beacon aus.
Zum Erstellen:
x86: Öffnen Sie die Visual Studio x86 Native Tools Eingabeaufforderung und geben Sie 'make' ein. x64: Öffnen Sie die Visual Studio x64 Cross Tools Eingabeaufforderung und geben Sie 'make' ein.
Dieses Projekt basiert auf:
Reflective DLL Injection BSD 3-Clause License Copyright (c) 2011, Stephen Fewer of Harmony Security (www.harmonysecurity.com) https://github.com/stephenfewer/ReflectiveDLLInjection
ReflectiveDLLRefresher BSD 3-Clause License Copyright (c) 2017, Cylance Inc. https://github.com/CylanceVulnResearch/ReflectiveDLLRefresher
Unhook Meterpreter Extension BSD-3-Clause License 2006-2018, Rapid7, Inc. https://github.com/rapid7/metasploit-payloads/commits/master/c/meterpreter/source/extensions/unhook