Cobalt Strike CheatSheet

Allgemeine Hinweise und Ratschläge für das Cobalt Strike C2-Framework.

Zusammenfassung

Cobalt Strike: Das erste und grundlegendste Menü. Es enthält die Funktionalität zum Verbinden mit einem Teamserver, zum Festlegen Ihrer Einstellungen, zum Ändern der Ansicht von Beacon-Sitzungen sowie zum Verwalten von Listenern und Aggressor-Skripten.
View: Das Ansichtsmenü besteht aus Elementen, die Ziele, Protokolle, gesammelte Anmeldeinformationen, Screenshots, Tastatureingaben usw. verwalten. Sein Hauptzweck besteht darin, einen einfachen Zugriff auf die Ausgabe vieler Module zu bieten und Ihre Beute sowie Domain-Ziele zu verwalten.
Attacks: Dieses Menü enthält zahlreiche Methoden zur Erzeugung clientseitiger Angriffe wie Phishing-Mails, Website-Klonen und Datei-Hosting. Außerdem bietet es zahlreiche Möglichkeiten, Ihre Beacon-Payloads zu generieren oder einfach Shellcode zu erzeugen und ihn für die spätere Verwendung mit einem anderen Obfuskierungstool zu speichern.
Reporting: Es bietet eine einfache Möglichkeit, PDF- oder Tabellendateien mit Informationen über die Ausführung eines Angriffs zu erstellen. Auf diese Weise unterstützt es Sie bei der Organisation kleiner Berichte und erleichtert den abschließenden Schreibprozess des Berichts.
Help: Grundlegendes Hilfemenü des Tools.

HTTP/HTTPS: Die grundlegendsten Payloads für Beacon. Standardmäßig lauschen die Listener auf den Ports 80 und 443, wobei stets die Option besteht, benutzerdefinierte Ports festzulegen. Sie haben die Möglichkeit, Proxy-Einstellungen festzulegen, den HTTP-Header anzupassen oder einen Bind-Port anzugeben, um den Datenverkehr von Beacon umzuleiten, falls die Infrastruktur Redirector-Server für die Payload-Callbacks verwendet.
DNS: Eine sehr unauffällige Payload-Option, die unauffälligeren Datenverkehr über das DNS-Protokoll bietet. Sie müssen den DNS-Server angeben, mit dem eine Verbindung hergestellt werden soll. Die beste Situation für die Verwendung dieses Listener-Typs ist eine stark abgeschottete Umgebung, die sogar gängigen Datenverkehr wie Port 80 und 443 blockiert.

TCP: Ein grundlegender TCP-Listener, der an einen bestimmten Port gebunden ist.
SMB: Eine hervorragende Option für interne Verbreitung und laterale Bewegung. Diese Payload verwendet Named Pipes über das SMB-Protokoll und ist der beste Ansatz, um Firewalls zu umgehen, wenn sogar Standardports wie 80 und 443 auf der Blacklist stehen.

Foreign HTTP/HTTPS: Diese Art von Listenern gibt uns die Möglichkeit, eine Sitzung vom Metasploit-Framework mittels HTTP- oder HTTPS-Payloads an Cobalt Strike zu übergeben. Ein nützliches Beispiel ist die Ausführung eines Exploit-Moduls aus Metasploit und das Erlangen einer Beacon-Sitzung in Cobalt Strike.
External C2: Dies ist ein spezieller Listener-Typ, der Drittanwendungen die Möglichkeit gibt, als Kommunikationsmedium für Beacon zu fungieren.