sentinel-one/cobaltstrikeparserPython-Parser zum Extrahieren von CobaltStrike Beacon-Konfigurationen aus PE-Dateien, Speicherauszügen und C2-URLs mithilfe von heuristischer XOR-Entschlüsselung und strukturierter Konfigurationsanalyse.
Python-Parser für die Konfiguration von CobaltStrike-Beacons
Verwenden Sie parse_beacon_config.py für befehllose Beacons, Speicherabbilder oder C2-URLs mit Metasploit-Kompatibilitätsmodus (Standard: true).
Viele befehllose Beacons sind PEs, bei denen der Beacon-Code selbst im .data-Abschnitt gespeichert und mit einem 4-Byte-Schlüssel xored ist.
Das Skript versucht, den Xor-Schlüssel und die Daten heuristisch zu finden, die Daten zu entschlüsseln und die Konfiguration daraus zu parsen.
Dies ist so konzipiert, dass es auch als Bibliothek verwendet werden kann.
Das Repository enthält jetzt auch ein kleines Kommunikationsmodul (comm.py), das bei der Kommunikation mit einem C2-Server als Beacon helfen kann.
usage: parse_beacon_config.py [-h] [--json] [--quiet] [--version VERSION] beacon
Parses CobaltStrike Beacon's configuration from PE, memory dump or URL.
positional arguments:
beacon This can be a file path or a url (if started with http/s)
optional arguments:
-h, --help show this help message and exit
--json Print as json
--quiet Do not print missing or empty settings
--version VERSION Try as specific cobalt version (3 or 4). If not specified, tries both.
Um den Kommunikations-PoC zu verwenden, kopieren Sie ihn in den Hauptordner und führen Sie ihn von dort aus. Für die Installation der M2Crypto-Bibliothek (eine Voraussetzung für den PoC) unter Windows ist es am einfachsten, Installationsprogramme aus dem Internet zu verwenden, nicht über pip.