BokuLoader : Cobalt Strike Reflective Loader

Ein Proof-of-Concept User-Defined Reflective Loader (UDRL), der darauf abzielt, die Evasion-Funktionen von Cobalt Strike nachzubilden, zu integrieren und zu verbessern!

Mitwirkende:

Mitwirkende	Twitter	Bemerkenswerte Beiträge
Bobby Cooke	@0xBoku	Projekt-Autor und -Betreuer
Santiago Pecin	@s4ntiago_p	Wesentliche Verbesserungen am Reflective Loader
Chris Spehn	@ConsciousHacker	Aggressor-Scripting
Joshua Magri	@passthehashbrwn	IAT-Hooking
Dylan Tran	@d_tranman	Spoofing des Reflective Call Stacks
James Yeung	@5cript1diot	Indirekte Systemaufrufe

Hinweise zur Verwendung von UDRL

Der integrierte Reflective Loader von Cobalt Strike ist robust und unterstützt alle Malleable-PE-Evasion-Funktionen, die Cobalt Strike zu bieten hat. Der größte Nachteil bei der Verwendung eines eigenen UDRL ist, dass Malleable-PE-Evasion-Funktionen möglicherweise nicht ohne Weiteres unterstützt werden.

Das Ziel des öffentlichen BokuLoader-Projekts ist es, Red Teams bei der Erstellung eines eigenen, internen Cobalt-Strike-UDRL zu unterstützen. Das Projekt zielt darauf ab, alle sinnvollen CS-Malleable-PE-Evasion-Funktionen zu unterstützen. Einige Evasion-Funktionen nutzen die CS-Integration, andere wurden vollständig neu erstellt und einige werden nicht unterstützt.

Bevor du dieses Projekt in irgendeiner Form verwendest, solltest du gründlich testen, ob die Evasion-Funktionen wie vorgesehen funktionieren. Zwischen dem C-Code und dem Aggressor-Skript kann die Kompilierung mit verschiedenen Versionen von Betriebssystemen, Compilern und Java unterschiedliche Ergebnisse liefern.

Evasion-Funktionen

BokuLoader-spezifische Evasion-Funktionen

• Spoofing des Reflective Call Stacks mittels synthetischer Frames.
• Eigener ASM/C-Reflective-Loader-Code
• Indirekte NT-Syscalls mittels HellsGate- & HalosGate-Techniken
  • Alle Änderungen des Speicherschutzes für alle Allokationsoptionen werden über einen indirekten Syscall an NtProtectVirtualMemory durchgeführt
• obfuscate "true" mit eigener UDRL-Aggressor-Skript-Implementierung.
• NOHEADERCOPY
  • Der Loader kopiert die Header der rohen Beacon-DLL nicht in die virtuelle Beacon-DLL. Die ersten 0x1000 Bytes sind Nullen.
• XGetProcAddress zum Auflösen von Symbolen
  • Verwendet nicht Kernel32.GetProcAddress
• xLoadLibrary zum Auflösen der DLL-Basisadresse und zum Laden von DLLs
  • Ermittelt für geladene DLLs die DLL-Basisadresse über TEB->PEB->PEB_LDR_DATA->InMemoryOrderModuleList
  • Verwendet nicht Kernel32.LoadLibraryA
• Caesar-Chiffre zur String-Verschleierung
• 100k UDRL-Größe
• Import-DLL-Namen und Namen der Import-Einstiegspunkte werden in der virtuellen Beacon-DLL überschrieben.

Unterstützte Malleable-PE-Evasion-Funktionen

Befehl	Option(en)	Unterstützt
allocator	HeapAlloc, MapViewOfFile, VirtualAlloc	Alle werden über die BokuLoader-Implementierung unterstützt
module_x64	string (DLL-Name)	Wird über die BokuLoader-Implementierung unterstützt. Es gelten dieselben DLL-Stomping-Anforderungen wie bei der CS-Implementierung
obfuscate	true/false	HTTP/S-Beacons werden über die BokuLoader-Implementierung unterstützt. SMB/TCP wird derzeit für obfuscate true nicht unterstützt. Details im Issue. Hilfe wird angenommen, wenn du es beheben kannst :)
entry_point	RVA als Dezimalzahl	Wird über die BokuLoader-Implementierung unterstützt
cleanup	true	Wird über die CS-Integration unterstützt
userwx	true/false	Wird über die BokuLoader-Implementierung unterstützt
sleep_mask	(true/false) oder (Sleepmask-Kit+true)	Unterstützt. Wenn das Standard-"sleepmask true" (ohne Sleepmask-Kit) verwendet wird, setze "userwx true". Wenn ein Sleepmask-Kit verwendet wird, das RX-beacon.text-Speicher unterstützt (src47/Ekko), setze "sleepmask true" && "userwx false".
magic_mz_x64	4-Zeichen-String	Wird über die CS-Integration unterstützt
magic_pe	2-Zeichen-String	Wird über die CS-Integration unterstützt
transform-x64 prepend	escaped Hex-String	BokuLoader.cna-Aggressor-Skript-Modifikation
transform-x64 strrep	string string	BokuLoader.cna-Aggressor-Skript-Modifikation
stomppe	true/false	Nicht unterstützt. BokuLoader kopiert die Beacon-DLL-Header nicht. Die ersten 0x1000 Bytes der virtuellen Beacon-DLL sind 0x00
checksum	number	Experimentell. BokuLoader.cna-Aggressor-Skript-Modifikation
compile_time	Datums-/Zeit-String	Experimentell. BokuLoader.cna-Aggressor-Skript-Modifikation
image_size_x64	Dezimalwert	Nicht unterstützt
name	string	Experimentell. BokuLoader.cna-Aggressor-Skript-Modifikation
rich_header	escaped Hex-String	Experimentell. BokuLoader.cna-Aggressor-Skript-Modifikation
stringw	string	Nicht unterstützt
string	string	Nicht unterstützt

Test

• (22.02.23) Alle 4 Allokator-Methoden getestet mit threatexpress/malleable-c2/master/jquery-c2.4.7.profile

Projektursprünge

• Basiert auf Stephen Fewers unglaublichem Reflective-Loader-Projekt:
  • https://github.com/stephenfewer/ReflectiveDLLInjection
• Ursprünglich erstellt während der Durcharbeitung von Renz0hs Reflective-DLL-Videos aus dem Sektor7 Malware Developer Intermediate (MDI) Kurs

Verwendung

1. Kompiliere die BokuLoader-Objektdatei mit make
2. Starte deinen Cobalt-Strike-Teamserver
3. Importiere in Cobalt Strike das Aggressor-Skript BokuLoader.cna
4. Generiere den x64-Beacon (Attacks -> Packages -> Windows Executable (S))
5. Verwende die Script Console, um sicherzustellen, dass BokuLoader in den Beacon-Build implementiert wurde

• Die x86-Option wird nicht unterstützt. Die x86-Binärdatei ist die ursprüngliche Reflective-Loader-Objektdatei.
• Die Generierung von RAW-Beacons funktioniert sofort. Bei Verwendung des Artifact Kits für den Beacon-Loader muss die Variable stagesize größer als der Standardwert sein.
  • Weitere Informationen findest du in der Dokumentation zum Cobalt Strike User Defined Reflective Loader

Erkennungshinweise

Fest codierte Strings

• BokuLoader ändert einige häufig erkannte Strings in neue fest codierte Werte. Diese Strings können zur Signatur von BokuLoader verwendet werden:

Ursprünglicher Cobalt-Strike-String	BokuLoader-Cobalt-Strike-String
ReflectiveLoader	BokuLoader
Microsoft Base Cryptographic Provider v1.0	12367321236742382543232341241261363163151d
(admin)	(tomin)
beacon	bacons

Speicher-Allokatoren