Awesome CobaltStrike

Inhaltsverzeichnis

• 0x00 Einführung
• 0x01 Artikel & Videos
  • 1. Grundlagen
  • 2. Cracken und Anpassung
  • 3. Nützliche Tricks
  • 4. CobaltStrike verstecken
  • 5. CobaltStrike-Analyse
  • 6. CobaltStrike-Videos
• 0x02 C2-Profile

0x00 Einführung

1. Der erste Teil ist eine Sammlung hochwertiger Artikel über CobaltStrike
2. Der dritte Teil behandelt die Integration der neuen Funktionen und BOF-Ressourcen
3. Dieses Projekt soll das Problem lösen, das richtige Aggressor-Skript oder BOF nicht zu finden, wenn man es braucht
4. Wenn es qualitativ hochwertige Inhalte gibt, die in diesem Repo nicht abgedeckt sind, freuen wir uns über einen PR

0x01 Artikel & Videos

1. Grundlagen

1. Cobalt_Strike_wiki
2. Cobalt Strike Buch
3. CobaltStrike4.0笔记
4. CobaltStrike相关网络文章集合
5. Cobalt Strike 外部 C2 之原理篇
6. Cobalt Strike 桌面控制问题的解决（以及屏幕截图等后渗透工具）
7. Cobalt Strike & MetaSploit 联动
8. Cobalt-Strike-CheatSheet
9. Cobalt Strike MITRE TTPs
10. Red-Team-Operationen mit Cobalt Strike (2019)
11. Cobalt Strike: Überblick
12. CobaltStrike插件开发
13. Cobalt Strike 中文 Wiki

2. Cracken und Anpassung

1. IntelliJ-IDEA修改cobaltstrike
2. CobaltStrike二次开发环境准备
3. Cobal Strike 自定义OneLiner
4. 通过反射DLL注入来构建后渗透模块（第一课）
5. Cobalt Strike Aggressor Script （第一课）
6. Cobalt Strike Aggressor Script （第二课）
7. Implementierung von Syscalls im Cobaltstrike Artifact Kit
8. Cobalt Strike 4.0 认证及修补过程
9. 使用ReflectiveDLLInjection武装你的CobaltStrike
10. Bypass des CobaltStrike-Beacon-Konfigurationsscans
11. Cobalt Strike auf das Ziel zuschneiden
12. COFFLOADER: Erstellen eines eigenen In-Memory-Loaders oder Ausführen von BOFs
13. Noch ein Cobalt-Strike-Stager: GUID-Edition
14. Cobalt Strike4.3 破解日记
15. Cobalt Strike 进程创建与对应的 Syslog 日志分析
16. Hinter der Maske: Call-Stacks dynamisch mit Timern spoofen

3. Nützliche Tricks

1. Cobalt Strike Spear-Phishing
2. CS unter Windows ausführen -- teamserver.bat
3. Remote-NTLM-Relaying über CS -- im Zusammenhang mit CVE_2018_8581
4. Cobalt Strike Convet VPN
5. 渗透神器CS3.14搭建使用及流量分析
6. CobaltStrike生成免杀shellcode
7. CS-notes--一系列CS的使用技巧笔记
8. 使用 Cobalt Strike 对 Linux 主机进行后渗透
9. Cobalt Strike Listener mit Proxy
10. Cobalt Strike Convet VPN
11. CS 4.0 SMB Beacon
12. Cobalt Strike 浏览器跳板攻击
13. Cobalt Strike 中 Bypass UAC
14. 一起探索Cobalt Strike的ExternalC2框架
15. 深入探索Cobalt Strike的ExternalC2框架
16. Cobalt Strike的特殊功能（external_C2）探究
17. Eine Geschichte über .NET-Assemblies, Cobalt-Strike-Größenbeschränkungen und Reflection
18. AppDomain.AssemblyResolve
19. 从webshell建立代理上线不出网的内网机器
20. 在Cobalt Strike BOF中进行直接系统调用

4. CobaltStrike verstecken

1. CobaltStrike证书修改躲避流量审查
2. CS 合法证书 + Powershell 上线
3. Cobalt Strike 团队服务器隐匿
4. 红队基础建设:隐藏你的C2 server
5. Cobalt Strike HTTP-C2-Redirectoren mit Apache mod_rewrite
6. 深入研究cobalt strike malleable C2配置文件
7. Schöne neue Welt: Malleable C2
8. Wie man Malleable-C2-Profile für Cobalt Strike schreibt
9. Randomisierte Malleable-C2-Profile leicht gemacht
10. 关于CobaltStrike的Stager被扫问题
11. Beacon Stager listener 去特征
12. 检测与隐藏Cobaltstrike服务器
13. 记一次cs bypass卡巴斯基内存查杀
14. cs bypass卡巴斯基内存查杀 2
15. Cobalt Strike – Umgehung von C2-Netzwerkerkennungen
16. Cobalt Strike特征隐藏
17. Cobalt Strike 反溯源之 CDN 篇
18. Das Verborgene entfesseln: Die Kraft von Cobalt-Strike-Profilen für die EDR-Umgehung nutzen

5. CobaltStrike-Analyse

1. Volatility-Plugin zur Erkennung von Cobalt-Strike-Beacons. Blog|Toolset
2. 逆向分析Cobalt Strike安装后门
3. 分析cobaltstrike c2 协议
4. Kleines Tool zum Entschlüsseln einer Cobalt-Strike-Auth-Datei
5. Cobalt Strike 的 ExternalC2
6. Erkennung von Cobalt-Strike-Standardmodulen mittels Named-Pipe-Analyse
7. 浅析CobaltStrike Beacon Staging Server扫描
8. Gegenangriff auf ausgemustertes Cobalt Strike: Ein Blick auf eine Legacy-Schwachstelle
9. Cobalt Strike analysieren – aus Spaß und Profit
10. Erkennung von Cobalt-Strike-Remote-Threads
11. Die Kunst und Wissenschaft der Erkennung von Cobalt Strike
12. Ein Multi-Methoden-Ansatz zur Identifizierung nicht autorisierter Cobalt-Strike-Server
13. So erkennen Sie Cobalt-Strike-Aktivitäten in der Memory-Forensik
14. Erkennung von Cobalt Strike durch Fingerprinting von Imageload-Ereignissen
15. Die Anatomie eines APT-Angriffs und die kodierte Konfiguration von CobaltStrike-Beacons

6. CobaltStrike-Videos

1. Malleable-Speicherindikatoren mit der Beacon-Payload von Cobalt Strike
2. STAR-Webcast: Spooky RYUKy: Die Rückkehr von UNC1878
3. Analyse von Excel-4.0-Makros - Cobalt Strike Shellcode-Injektion
4. Profiling und Erkennung von allem rund um SSL mit JA3

0x02 C2-Profile| Typ | Name | Beschreibung | Beliebtheit | Sprache |

|:---:|:---:|:---:|:---:|:---:| | ALL | Malleable-C2-Profiles | Offizielle Malleable C2 Profile | | | | ALL | Malleable-C2-Randomizer | Dieses Skript randomisiert Cobalt Strike Malleable C2 Profile mithilfe einer Metasprache | | | | ALL | malleable-c2 | Cobalt Strike Malleable C2 Design- und Referenzleitfaden | | | | ALL | Malleable-C2-Profiles | Eine Sammlung von Profilen, die in Cobalt Strike und im Malleable C2 Listener von Empire verwendet werden. | | | | ALL | random_c2_profile | Generator für zufällige C2-Profile | | | | ALL | | SourcePoint ist ein C2-Profilgenerator für Cobalt Strike Command-and-Control-Server, der Evasion sicherstellen soll. | | | | ALL | | C2concealer ist ein Befehlszeilentool, das randomisierte C2-Malleable-Profile für die Verwendung in Cobalt Strike generiert. | | | | ALL | | Eine Sammlung von Cobalt Strike Malleable C2 Profilen. Jetzt mit Windows-Updates-Profil | | | | ALL | | Cobalt Strike – Malleable C2 Profile. Eine Sammlung von Profilen, die in verschiedenen Projekten mit Cobalt Strike verwendet werden | | | | ALL | | Ein Python-Interpreter für Cobalt Strike Malleable C2 Profile, mit dem Sie diese programmatisch parsen, modifizieren, erstellen und die Syntax validieren können. | | | | ALL | | Malleable C2-Profile für Cobalt Strike, die zur Bekämpfung von Traffic-Analyse entwickelt wurden | | | | ALL | | CobaltStrike-Profil | | | | ALL | | Ein Spin-off-Forschungsprojekt. Cobalt Strike x Notion-Kollaboration 2022. | | | | ALL | | Dies ist ein schnelles Python-Dienstprogramm, das ich geschrieben habe, um HTTP-Anfragen aus Burp Suite in Cobalt Strike Malleable C2 Profile umzuwandeln. | | | | ALL | | Malleable C2-Profile automatisch in den Quellcode der CrossC2-Rebinding-Bibliothek parsen | | | | ALL | | Parser und Assembler für Malleable C2 Profile, geschrieben in Golang | | | | ALL | | Eine Liste von Python-Tools, die helfen, ein OPSEC-sicheres Cobalt Strike-Profil zu erstellen. | | |

0x03 BOF| Typ | Name | Beschreibung | Beliebtheit | Sprache |

|:---:|:---:|:---:|:---:|:---:| | ALL | BOF_Collection | Verschiedene Cobalt Strike BOFs | | | | ALL | cobaltstrike-bof-toolset | Sammelt im Netz verfügbare BOF-Toolsets, die in Cobalt Strike verwendet werden. | | | | ALL | Situational Awareness BOF | Das übergeordnete Ziel ist es, ein Codebeispiel und einen Workflow bereitzustellen, damit andere mit der Erstellung weiterer BOF-Dateien beginnen können. Blog | | | | ALL | bof_helper | Erstellungshelfer für Beacon Object Files (BOF) | | | | ALL | BOF-DLL-Inject | BOF DLL Inject ist ein benutzerdefiniertes Beacon Object File, das Manual-Map-DLL-Injection verwendet, um eine DLL vollständig aus dem Speicher in einen Prozess zu migrieren. | | | | ALL | | Der BOF startet einen Prozess Ihrer Wahl unter einem angegebenen Elternprozess und injiziert eine bereitgestellte Shellcode-Datei über QueueUserAPC(). | | | | ALL | | Beacon Object File (BOF) für CobaltStrike, das die erforderlichen Rechte erwirbt und die Registrierungsschlüssel SAM - SYSTEM - SECURITY zur Offline-Analyse und Hash-Extraktion ausgibt. | | | | ALL | | DCOM-Lateral-Movement; WMI-Lateral-Movement - Win32_Process Create; WMI-Lateral-Movement - Ereignisabonnement | | | | ALL | | ETW-Patching; API-Funktions-Dienstprogramm; Syscall-Shellcode-Injection | | | | ALL | | Dieses Repo ist eine Ergänzung zu unserem zuvor veröffentlichten SA-Repo. Unsere ursprüngliche Haltung war, dass wir unser Tooling, das andere Systeme verändert, nicht veröffentlichen und nur Informationssammlungstools in einem einsatzbereiten Format bereitstellen würden. | | | | ALL | | Dieses Repository enthält eine Sammlung von Tools, die über Beacon Object Files (BOFs) in Cobalt Strike integriert werden. | | | | Dev | | Dies ist ein Vorlagenprojekt zum Erstellen von Cobalt Strike BOFs in Visual Studio. | | | | Dev | | Strstr mit benutzerdefiniertem Suchbegriff und Dateinamen als BOF. | | | | Dev | | Quser-Implementierung für Beacon Object Files unter Verwendung der Windows-API | | | | Dev | | Eine .NET-Laufzeitumgebung für Cobalt Strikes Beacon Object Files. | | | | Dev | | Das Format, das von Mudge beschrieben wird, verlangt, dass der Operator eine COFF-Datei mit einem mingw-w64-Compiler oder dem MSVC-Compiler erstellt, die einen Symbolnamen enthält, der den Einstiegspunkt und die zugrunde liegenden Funktionsaufrufe angibt. | | | | Dev | | Demonstriert die Möglichkeit, in BOFs mithilfe von Inline-Assembly einfach Syscalls zu verwenden. | | | | Dev | | Ein Proof-of-Concept-Beacon Object File für Cobalt Strike, das direkte Systemaufrufe verwendet, um das WDigest-Anmeldedaten-Caching zu aktivieren und Credential Guard (falls aktiviert) zu umgehen. | | | | Dev | | Dieses Repo soll zwei Zwecken dienen. Erstens bietet es einen netten Satz grundlegender Situationsbewusstseins-Befehle, die in BOF implementiert sind. Dies ermöglicht es Ihnen, einige Prüfungen auf einem Host durchzuführen, bevor Sie Befehle ausführen, die möglicherweise invasiver sind. | | | | Dev | | Benutzerdefinierte Implementierung der MiniDumpWriteDump-Funktion von DbgHelp. Verwendet statische Syscalls, um Low-Level-Funktionen wie NtReadVirtualMemory zu ersetzen. | | | | Dev | | Dies ist ein schneller und einfacher COFF-Loader (auch bekannt als Beacon Object Files). Er kann derzeit unmodifizierte BOFs ausführen und kann daher zum Testen verwendet werden, ohne dass ein CS-Agent ihn ausführt. Die einzige Ausnahme ist, dass die injektionsbezogenen Beacon-Kompatibilitätsfunktionen leer sind. | | | | Dev | | BOF-Implementierung der Forschung von @jonasLyk und des entworfenen PoC von @LloydLabs | | | | Dev | | Dies ist ein BOF, um DLL-Dateien aufzulisten, die von einer bestimmten PE-Datei geladen werden sollen. Je nach Anzahl der Argumente kann ein Operator entweder eine Liste der erwarteten importierten DLL-Dateien anzeigen oder die importierten Funktionen für eine erwartete DLL anzeigen. | | | | Dev | | Eine Visual-Studio-Vorlage zum Erstellen von Cobalt Strike BOFs | | | | Dev | | C#-.NET-5.0-Projekt zum massenhaften Erstellen von BOFs (Beacon Object Files), basierend darauf, dass sie sich alle irgendwo in einer Ordnerverzeichnisstruktur befinden. | | | | Dev | | Dies ist ein In-Memory-Loader/Runner für ELF-Objekte. Das Ziel ist es, einen einzigen ELF-Loader zu erstellen, der zum Ausführen nachfolgender Fähigkeiten auf allen x86_64- und x86-nix-Betriebssystemen verwendet werden kann. | | | | Dev | | Das hat mich etwa 4 Tage gekostet, aber ich habe es zum Laufen gebracht... Rust core + alloc für Cobalt Strike BOFs. Das ist eindeutig ein PoC, aber ich würde mich freuen, wenn andere damit herumspielen und einen Beitrag leisten. | | | | Dev | | CoffeeLdr ist ein Loader für sogenannte Beacon Object Files. Dieses Projekt kann zum Testen von Beacon Object Files ohne das Cobalt-Strike-Framework verwendet werden oder benutzerdefinierten Implantaten eine Möglichkeit bieten, BOFs auszuführen, die für Cobalt Strike entwickelt wurden. | | | | Dev | | Cobalt-Strike-BOF, das einen benutzerdefinierten ASM-HalosGate-&-HellsGate-Syscaller verwendet, um eine Liste von Prozessen zurückzugeben. | | | | Dev | | Nimmt den ursprünglichen PPLFault und den ursprünglich enthaltenen DumpShellcode und kombiniert alles in einem BOF, das auf Cobalt Strike abzielt. | | | | Dev | | Winsock-Implementierung für Cobalt Strike. Wird verwendet, um mit dem Opfer über Winsocks zu kommunizieren, anstatt auf die herkömmliche Weise. | | | | Dev | | Eine Beacon-Object-File-Vorlage (BOF) für Visual Studio. | | | | Auxiliary | | Ein BOF zum Ermitteln von Windows-Defender-Ausschlüssen. | | | | Auxiliary | | ScreenShot-BOF für Cobalt Strike. Alles im Speicher und kein Spawn/Inject. | | | | Auxiliary | | Beacon-Object-File-Repo zum Roasten von Active Directory. | | | | Auxiliary | | Cobalt-Strike-BOF zur Identifizierung von Prozessen mit geladener CLR, mit dem Ziel, SpawnTo-/Injection-Kandidaten zu identifizieren. | | | | Auxiliary | | Einfacher BOF zum Auslesen der Schutzstufe eines Prozesses. | | | | Auxiliary | | Section-Mapping-Process-Injection (secinject): Cobalt-Strike-BOF | | | | Auxiliary | | Ein Cobalt-Strike-Beacon-Object-File-Projekt (BOF), das direkte Systemaufrufe verwendet, um Prozesse nach bestimmten Modulen oder Prozesshandles zu durchsuchen. | | | | Auxiliary | | Inject-assembly – Führt .NET in einem vorhandenen Prozess aus. Dieses Tool ist eine Alternative zur herkömmlichen Fork-and-Run-Ausführung für Cobalt Strike. Der Loader kann in jeden Prozess injiziert werden, einschließlich des aktuellen Beacons. Langlaufende Assemblies laufen weiter und senden die Ausgabe zurück an das Beacon, ähnlich wie beim Verhalten von execute-assembly. | | | | Auxiliary | | WhereAmiI – Cobalt-Strike-Beacon-Object-File (BOF), das handgeschriebenen Shellcode verwendet, um die Umgebungszeichenfolgen des Prozesses zurückzugeben, ohne irgendwelche DLLs zu berühren. | | | Auxiliary | | Kleines Projekt, um festzustellen, ob der Web-Client-Dienst (WebDAV) auf einem entfernten System ausgeführt wird, indem das Vorhandensein der Named Pipe DAV RPC SERVICE überprüft wird. | | | | Auxiliary | | BOF-Implementierung des Chlonium-Tools zum Dumpen des Chrome-Masterkeys und Herunterladen von Cookie-/Login-Datendateien | | | | Auxiliary | | BOF zum Aufrufen der Funktion SetThreadExecutionState, um zu verhindern, dass der Host in den Ruhezustand wechselt | | | | Auxiliary | | Beacon Object File zum Dumpen des LSASS-Speichers durch Erlangen eines Snapshot-Handles. Führt MiniDumpWriteDump/NtReadVirtualMemory auf einem Snapshot von LSASS aus, anstatt auf dem ursprünglichen LSASS selbst, und umgeht dadurch einige AV/EDR. | | | | Auxiliary | | Systemrechte erlangen, indem das Token von winlogon dupliziert wird. | | | | Auxiliary | | Stiller LSASS-Dump | | | | Auxiliary | | Dies ist ein Beacon Object File, um DLLs zu aktualisieren und ihre Hooks zu entfernen. | | | | Auxiliary | | Dieses Aggressor-Skript verwendet das Notizfeld eines Beacons, um den Gesundheitsstatus eines Beacons anzuzeigen. | | | | Auxiliary | | Ein Beacon Object File für die Verwendung mit Cobalt Strike v4.1+. Unterstützt das Abfragen, Hinzufügen und Löschen von Schlüsseln/Werten lokaler und entfernter Registrierungen. | | | | Auxiliary | | InlineExecute-Assembly ist ein Proof-of-Concept-Beacon Object File (BOF), das Sicherheitsexperten die Ausführung von .NET-Assemblies im Prozess als Alternative zu Cobalt Strikes herkömmlichem Fork-and-Run-Modul execute-assembly ermöglicht | | | | Auxiliary | | CredBandit ist ein Proof-of-Concept-Beacon Object File (BOF), das statische x64-Syscalls verwendet, um einen vollständigen In-Memory-Dump eines Prozesses durchzuführen und diesen über Ihren bereits bestehenden Beacon-Kommunikationskanal zurückzusenden. Der Speicherabbild wird mithilfe von NTFS-Transaktionen erstellt, wodurch wir das Abbild in den Speicher schreiben können, und die MiniDumpWriteDump-API wurde durch eine Adaption der ReactOS-Implementierung von MiniDumpWriteDump ersetzt. | | | | Auxiliary | | Cobalt-Strike-Beacon-Object-File (BOF), das AMSI in einem entfernten Prozess mithilfe von Codeinjektion umgeht. | | | | Auxiliary | | Cobalt-Strike-Beacon-Object-File (BOF), das AMSI in einem entfernten Prozess mithilfe von Codeinjektion umgeht. | | | | Auxiliary | | Proof-of-Concept-Beacon Object File (BOF), das versucht, von AV/EDR installierte Userland-Hooks zu erkennen. | | | | Auxiliary | | API-Hooks aus einem Beacon-Prozess entfernen. | | | | Auxiliary | | Cobalt-Strike-Beacon-Object-File "Wo bin ich?" | | | | Auxiliary | | EarlyBird-Process-Hollowing-Technik (BOF) – Startet einen Prozess im angehaltenen Zustand, injiziert Shellcode, übernimmt den Hauptthread mit APC und führt Shellcode aus | | | | Auxiliary | | send_shellcode_via_pipe;cat;wts_enum_remote_processes | | | | Auxiliary | | SCShell ist ein fileless Lateral-Movement-Tool, das sich auf ChangeServiceConfigA verlässt, um Befehle auszuführen. | | | | Auxiliary | | Vor einiger Zeit habe ich CSharpWinRM erstellt, das ganz brauchbar war, aber ich wollte mir die WinRM-C++-API genauer ansehen. | | | | Auxiliary | | LSASS-Dump mit fremden Handles | | | | Auxiliary | | Dies ist ein vollwertiger BOF zum Dumpen eines beliebigen geschützten Prozesses (LSASS). | | | | Auxiliary | | PortBender ist ein TCP-Port-Umleitungsprogramm, das es einem Red-Team-Operator ermöglicht, eingehenden Datenverkehr, der für einen TCP-Port bestimmt ist (z. B. 445/TCP), auf einen anderen TCP-Port (z. B. 8445/TCP) umzuleiten. | | | | Auxiliary | | POC-Tool zum Konvertieren eines Cobalt-Strike-BOFs in rohen Shellcode. | | | | Auxiliary | | BOF zur Enumeration der DLL-Hijack-Suchreihenfolge | | | | Auxiliary | | Tool für die Arbeit mit direkten Systemaufrufen in Cobalt Strikes Beacon Object Files (BOF) über Syswhispers2 | | | | Auxiliary | | Verwendet die Windows-API, um Benutzer hinzuzufügen; nutzbar, wenn net nicht verwendet werden kann. | | | | Auxiliary | | BOFs in der Sprache Nim schreiben | | | | Auxiliary | | Laden Sie jedes Beacon Object File mithilfe von PowerShell! | | | | Auxiliary | | Cobalt-clip ist ein Zwischenablage-Addon für Cobalt Strike, um mit der Zwischenablage zu interagieren. Damit können Sie den Inhalt einer Zwischenablage ausgeben, bearbeiten und überwachen. | | | | Auxiliary | | COFF-Dateien und Cobalt-Strike-BOFs im Speicher laden und ausführen | | | | Auxiliary | | COFF-Dateien und Cobalt-Strike-BOFs im Speicher laden und ausführen | | | | Auxiliary | | Eine reine Syscall-BOF-Datei, die Prozessschutzattribute erfassen soll, begrenzt auf einige wenige, die für Red-Team-Operatoren und Pentester üblicherweise von Interesse sind. | | | | Auxiliary | | Eine (fast) reine Syscall-BOF-Datei, die dazu dient, Token-Berechtigungen im Kontext Ihres aktuellen Prozesses entweder hinzuzufügen oder zu entfernen. | | | | Auxiliary | | ETW-Bypass über Syscalls in einen entfernten Prozess injizieren (HellsGate|HalosGate) | | | | Auxiliary | | PIC your Katz! Begrüßen Sie HandleKatz, unseren positionsunabhängigen LSASS-Dumper, der geklonte Handles, direkte Systemaufrufe und eine modifizierte Version von minidumpwritedump() missbraucht. | | | | Auxiliary | | tgtdelegation ist ein Beacon Object File (BOF), um über den "TGT-Delegationstrick" ein nutzbares TGT zu erhalten. | | | | Auxiliary | | Ein Beacon Object File, das einen Minidump des LSASS-Prozesses erstellt. | | | | Auxiliary | | Cobalt-Strike-Beacon-Object-File (BOF) zum Auflisten aktiver Pipes und zur Rückgabe ihrer Besitzer- und Discretionary-Access-Control-List-Berechtigungen (DACL). | | | | Auxiliary | | Cobalt-Strike-BOF, das einen Admin-Benutzer hinzufügt | | | | Auxiliary | | Lateral-Movement-Technik durch Missbrauch des Windows Perception Simulation Service, um DLL-Hijacking zu erreichen | | | | Auxiliary | | Proof-of-Concept-Beacon Object File (BOF), das versucht, von AV/EDR installierte Userland-Hooks zu erkennen | | | | Auxiliary | | Das MemReader-Beacon Object File ermöglicht es Ihnen, bestimmte Zeichenfolgen aus dem Speicher eines Zielprozesses zu suchen und zu extrahieren und das Gefundene an die Beacon-Ausgabe zurückzugeben. | | | | Auxiliary | | Nicht der hübscheste Code, kurz, knackig und auf den Punkt, und ermöglicht es Ihnen, Dateiinhalte zur Beacon-Ausgabe zu lesen. | | | | Auxiliary | | BOF-Implementierung des Chlonium-Tools zum Dumpen des Chrome/Edge-Masterkeys und Herunterladen von Cookie-/Login-Datendateien | | | | Auxiliary | | Beacon Object File zum Scannen eines Domaincontrollers, um zu prüfen, ob LdapEnforceChannelBinding oder LdapServerIntegrity geändert wurde, um Relaying-Angriffe zu entschärfen. | | | | Auxiliary | | Dieses Tool verwendet LDAP, um eine Domäne auf bekannte missbrauchbare Kerberos-Delegierungseinstellungen zu prüfen. Derzeit unterstützt es RBCD-, eingeschränkte (Constrained), eingeschränkte mit Protokollübergang (Constrained w/Protocol Transition) und uneingeschränkte Delegierungsprüfungen (Unconstrained Delegation). | | | | Auxiliary | | Ein Tool zum Ausführen von Objektdateien, hauptsächlich Beacon Object Files (BOF), in .Net. | | | | Auxiliary | | Beacon-Object-File-Implementierung von pwn1shers KillDefender. | | | | Auxiliary | | TokenStrip ist eine Beacon-Object-File-Implementierung von pwn1shers KillDefender-Projekt, die Syscalls über InlineWhispers nutzt. | | | | Auxiliary | | Cobalt-Strike-Beacon-Object-File (BOF), das die WinStationConnect-API verwendet, um lokale/remote RDP-Sitzungsübernahme durchzuführen. | | | | Auxiliary | | Cobalt-Strike-Beacon-Object-File (BOF), das die WinStationConnect-API verwendet, um lokale/remote RDP-Sitzungsübernahme durchzuführen. | | | | Auxiliary | | Cobalt-Strike-Beacon-Object-File (BOF), das die WinStationConnect-API verwendet, um lokale/remote RDP-Sitzungsübernahme durchzuführen. | | | | Auxiliary | | BOF-Kombination aus KillDefender und Backstab. | | | | Auxiliary | | Dieses Beacon Object File (BOF) erstellt In-Memory-Speicher für gestohlene/duplizierte Windows-Zugriffstoken. | | | | Auxiliary | | ASR-Regeln, Aktionen und Ausschlussorte identifizieren. | | | | Auxiliary | | BOF-Implementierung von @' ThreadlessInject-Projekt. Eine neuartige Prozessinjektionstechnik ohne Thread-Erstellung, veröffentlicht auf der BSides Cymru 2023. | | | | Auxiliary | | Führt nicht verwaltete Windows-Executables in CobaltStrike-Beacons aus. Dies ermöglicht es Operatoren, viele Drittanbieter-Tools (Mimikatz, Dsquery, Sysinternals-Tools usw.) zu verwenden, ohne sie auf die Festplatte schreiben, mit einem Tool wie Donut in positionsunabhängigen Code umformatieren oder einen neuen Prozess zu ihrer Ausführung erstellen zu müssen. | | | | Auxiliary | | Abonniert WNF-Benachrichtigungen für eine Anzahl von Sekunden. && Hintertür in die SCManager-SDDL. | | | | Auxiliary | | Führt LDAP- oder Kerberos-basiertes Password Spraying mithilfe der Windows-API LogonUserSSPI durch. Überspringt deaktivierte Konten, gesperrte Konten und hohe BadPwdCount-Werte (sofern angegeben). | | | | Auxiliary | | Erfassung von Anmeldeinformationen über CredUIPromptForWindowsCredentials | | | | Auxiliary | | C- oder BOF-Datei zum Extrahieren des WebKit-Masterkeys, um Benutzer-Cookies zu entschlüsseln. Der C-Code kann verwendet werden, um ein ausführbares Programm oder ein BOF-Skript für Cobalt Strike zu kompilieren. | | | | Auxiliary | | Eine alternative Screenshot-Funktion für Cobalt Strike, die die WinAPI verwendet und kein Fork & Run durchführt. Der Screenshot wird in den Speicher geladen. | | | | Auxiliary | | Machen Sie einen Screenshot ohne Injektion für Cobalt Strike. Ich habe nur geringfügige Optimierungen am vorhandenen Code vorgenommen und die Möglichkeit hinzugefügt, einen vollständigen Screenshot zu erhalten, wenn die globale Skalierung unter Windows aktiviert ist. | | | | Auxiliary | | Dieser BOF kann verwendet werden, um das aktuelle Beacon auf SYSTEM zu erweitern und die TrustedInstaller-Gruppenberechtigung zu erlangen. Die Identitätsübernahme erfolgt über die SetThreadToken-API. | | | | Auxiliary | | Hidden Desktop (oft als HVNC bezeichnet) ist ein Tool, das es Operatoren ermöglicht, mit einer Remote-Desktop-Sitzung zu interagieren, ohne dass der Benutzer es merkt. | | | | Auxiliary | | DropSpawn ist ein CobaltStrike-BOF, das verwendet wird, um zusätzliche Beacons über eine relativ unbekannte Methode des DLL-Hijackings zu starten. Funktioniert x86-x86, x64-x64 und x86-x64/umgekehrt. Als Alternative zur Prozessinjektion verwenden. | | | | Auxiliary | | COFF-Datei (BOF) zur Verwaltung von Kerberos-Tickets. | | | | Auxiliary | | Datei unabhängig davon löschen, ob der Handle über SetFileInformationByHandle verwendet wird | | | | Auxiliary | | BOF-Testdatei zum Abrufen von WeChat-Informationen; unterstützt nur die Offsets der Version 3.9.6.33 | | | | Auxiliary | | Dieses Repository enthält zwei Anwendungen. Eine ist ein Beacon Object File, das zum Abrufen der Authentifizierungszeichenfolge, auch Einladung genannt, verwendet wird. Die andere ist ein Programm mit grafischer Benutzeroberfläche, das auf dem System des Operators hinter einem SOCKS-Proxy ausgeführt werden kann, um eine Verbindung zur Remote-Desktop-Sitzung herzustellen. | | | | Auxiliary | | Die SharpHound-Daten (Testdatei, JSON, ZIP, Cache-Datei) werden nicht auf die Festplatte geschrieben, sondern nur über die BOF.NET-Bibliothek an die Cobalt-Strike-Downloads gesendet. | | | | Exploit | | SMBGhost-LPE | | | | Exploit | | ZeroLogon | | | | Exploit | | Cobalt-Strike-(CS)-Beacon-Object-File (BOF)-Grundlage für Kernel-Exploitation mit CVE-2021-21551. | | | | Exploit | | PrivKit ist ein einfaches Beacon Object File, das Privilege-Escalation-Schwachstellen erkennt, die durch Fehlkonfigurationen unter Windows-Betriebssystemen verursacht werden. | | | | Exploit | | Über Waffenisierter CobaltStrike-BOF für CVE-2023-36874, LPE über Windows Error Reporting. | | | | Persistence | | Cobalt-Strike-BOF, das einen Opferprozess startet, ihn mit Shellcode injiziert und den Payload ausführt. Entwickelt, um EDR-/Userland-Hooks zu umgehen, indem ein Opferprozess mit Arbitrary Code Guard (ACG), BlockDll und PPID-Spoofing gestartet wird. | | | | Persistence | | Ein Tool zur Automatisierung gängiger Persistenzmechanismen. Unterstützt derzeit Print Monitor (SYSTEM), Time Provider (Network Service), Startordner-Verknüpfungs-Hijacking (User) und Junction Folder (User). | | | | BypassAV | | Beacon Object File (BOF), das Beacon-Shellcode in einen entfernten Prozess injiziert und dabei die Verwendung allgemein überwachter APIs vermeidet. | | | | BypassAV | | SigFlip ist ein Tool zum Patchen von mit Authenticode signierten PE-Dateien (exe, dll, sys usw.), ohne die vorhandene Authenticode-Signatur zu beeinträchtigen oder zu brechen. Mit anderen Worten: Sie können die Prüfsumme/den Hash einer PE-Datei ändern, indem Sie Daten (z. B. Shellcode) einbetten, ohne die Dateisignatur, Integritätsprüfungen oder die Funktionalität der PE-Datei zu brechen. | | | | BypassAV | | Benutzerdefinierter Reflective Loader für Cobalt Strike, geschrieben in Assembly & C, für erweiterte Umgehungsfähigkeiten. | | | | BypassAV | | AddDefenderExclusions-Beacon-Object-File-Ressourcen. | | | | BypassAV | | Es demonstriert eine Technik, um BOFs heimlich auszuführen, ohne das Beacon einer Erkennung auszusetzen. | | | | BypassUAC | | Beacon-Object-File-Implementierung für den UAC-Bypass über vertrauenswürdige Pfade. Das Zielprogramm wird ohne Einbeziehung von "cmd.exe" mithilfe eines DCOM-Objekts aufgerufen. | | | | BypassUAC | | Dies ist eine Beacon-Object-File-Implementierung des UAC-Bypasses per Event-Viewer-Deserialisierung, entdeckt von @orange_8361 und des von CsEnox zusammengestellten PoC. | | |### 0x04 Aggressor Script| Typ | Name | Beschreibung | Beliebtheit | Sprache | |:---:|:---:|:---:|:---:|:---:| | BypassAV | | Zum schnellen Erzeugen von AV-bypass-fähigen ausführbaren Dateien. | | | | BypassAV | | Nutzt im Wesentlichen das Skript ps2exe.ps1, um in eine EXE zu kompilieren – nur wollte man es nicht über die Befehlszeile tun; daher wurde es als CNA-Skript geschrieben, um schnell und direkt AV-bypass-fähige ausführbare Dateien zu erzeugen (nur 50 KB groß). Unterstützt derzeit die Formate EXE und PS1. | | | | BypassAV | | BypassAV-ShellCode-Loader (Cobaltstrike/Metasploit) | | | | BypassAV | | AV-bypass-fähiger ShellCode-Loader für Msf & CobaltStrike | | | | BypassAV | | beacon-c2-go (Cobaltstrike/Metasploit) | | | | BypassAV | | Python-ShellCode-Loader (Cobaltstrike & Metasploit) | | | | BypassAV | | Cobalt-Strike-Shellcode-Loader in Golang | | | | BypassAV | | CS-Bypass, einschließlich Python- und C-Version | | | | BypassAV | | Cobalt-Strike-Shellcode-Generator. Erzeugt stageless Beacon-Shellcode mit offengelegter Exit-Methode, zusätzlicher Formatierung, Verschlüsselung, Kodierung, Komprimierung, mehrzeiliger Ausgabe usw. | | | | BypassAV | | Alaris ist ein neuer und heimlicher Shellcode-Loader, der mit Stand heute (02/28/2021) die meisten EDR-Systeme umgehen kann. Er nutzt mehrere bekannte TTPs, die die Malware und ihren Ausführungsfluss schützen. | | | | BypassAV | | EDR-Evasion – Kombination aus SwampThing – TikiTorch | | | | BypassAV | | Bedingungsgesteuerte Fernsteuerung (RAT); VT 6/70; umgeht einheimische Antivirenlösungen sowie Defender, Kaspersky und andere gängige Antivirenprogramme. | | | | BypassAV | | ScareCrow ist ein Payload-Erstellungs-Framework zum Generieren von Loadern für den Einsatz von Side-Loading (nicht Injection) in einen legitimen Windows-Prozess (unter Umgehung von Application-Whitelisting-Kontrollen). | | | | BypassAV | | Ein Framework zum Erstellen COM-basierter Bypasses unter Ausnutzung von Schwachstellen in Microsofts WDAPT-Sensoren. | | | | BypassAV | | Open-Source-PE-Packer. | | | | BypassAV | | Ein einfacher Python-Packer zum mühelosen Umgehen von Windows Defender | | | | BypassAV | | Go-Kompilierung mit dem Parameter -race für vollständigen VT-Bypass | | | | BypassAV | | Fortschrittliches AV-Evasion-Tool für Red-Team-Operationen | | | | BypassAV | | Verwendet Golang, um Shellcode von CobaltStrike und Metasploit AV-bypass-fähig zu laden; umgeht derzeit Huorong, Avast, Tencent Security Manager, die 360-Produktfamilie und andere Host-Sicherheitssoftware. | | | | BypassAV | | Dieses Repository ist eine Sammlung von Codeschnipseln für verschiedene Shellcode-Injection-Techniken mithilfe der fantastischen D/Invoke-API | | | | BypassAV | | Golang-Tool zum Generieren AV-bypass-fähiger Trojaner (das Tool ist nur für Windows-Systeme ausgelegt) | | | | BypassAV | | Verwendet GoBypass zur Bypass-Erzeugung | | | | BypassAV | | CobaltWhispers ist ein Aggressor-Skript, das eine Sammlung von Beacon Object Files für Cobalt Strike nutzt, um Prozessinjektion, Persistenz und mehr durchzuführen – unter Verwendung direkter Syscalls zur Umgehung von EDR/AV. | | | | BypassAV | | Cobalt-Strike-UDRL zur Umgehung von Speicherscannern. | | | | BypassAV | | Beendet AV/EDR-Prozesse mithilfe eines Kernel-Treibers | | | | BypassUAC | | Dieses Projekt implementiert eine DLL-Planting-Technik, um UAC „Always Notify“ zu umgehen und Code in einem Prozess mit hoher Integrität auszuführen. | | | | BypassUAC | | Ein CobaltStrike-Shellcode-Loader, der die meisten Antivirenprogramme umgehen kann | | | | Dev | | Dies ist ein Beispiel-Codemuster für die Verwendung von Named Pipes für die IPC-Kommunikation mit Reflective DLLs in Cobalt Strike. | | | | Dev | | Titan: eine generische, benutzerdefinierte Reflective DLL für Cobalt Strike. | | | | Dev | | Go-Implementierung eines externen C2-Clients für Cobalt Strike. | | | | Dev | | CobaltStrike-Beacon in Rust. | | | | Recon | | Führt eine rudimentäre Windows-Host-Enumeration mit integrierten Beacon-Befehlen durch | | | | Recon | | Cobalt-Strike-Aggressor-Skript, das System-/AV-/EDR-Recon durchführt. | | | | Recon | | Alle auf der PowerView-Übersichtsseite aufgeführten Funktionen sind hier mit allen Argumenten jeder Funktion enthalten. | | | | Recon | | PowerView-Aggressor-Skript für CobaltStrike | | | | Recon | | Sharphound-Aggressor – ein Benutzermenü für den SharpHound-Ingestor | | | | Recon | | Hochparalleles Netzwerk-Scan- und Diensterkennungswerkzeug für die laterale Informationssammlung im Intranet. | | | | Recon | | Portscan + Netzwerkkarten-Erkennung + ms17010-Erkennung | | | | Recon | | LetMeOutSharp versucht, alle verfügbaren Proxy-Konfigurationen aufzulisten und mithilfe der identifizierten Proxy-Konfigurationen über HTTP(s) mit dem Cobalt-Strike-Server zu kommunizieren. | | | | Recon | | Ein Cobalt-Strike-Werkzeug zur Prüfung von Active-Directory-Benutzerkonten auf schwache, bekannte oder leicht zu erratende Passwörter. | | | | Recon | | Ladon ist ein Multithread-, plugin-basiertes, umfassendes Scan-Werkzeug für große Netzwerk-Penetrationstests. Es umfasst Portscan, Diensterkennung, Netzwerk-Assets, Passwort-Brute-Force, Erkennung von Hochrisiko-Schwachstellen sowie One-Click-GetShell. Unterstützt werden Batch-Scans über A-/B-/C-Segmente, netzübergreifende Scans sowie das Scannen von URL-, Host- und Domänenlisten. | | | | Recon | | Ladon für Cobalt Strike (Drachen-Ladon-Suite) | | | | Recon | | Recon-AD, ein AD-Recon-Tool auf Basis von ADSI und Reflective DLLs | | | | Exploit | | Nachdem der Fisch in CS online gegangen ist, wird die Angel automatisch eingeholt / Automatisches Beenden des Angelns, nachdem der Fisch angebissen hat | | | | Exploit | | XSS-Phishing; CNA-Plugin mit PHP-Backend zum Einholen der Angel | | | | Exploit | | CobaltStrike 3.0+ --> erstellt verschiedene Payloads für Cobalt Strikes Beacon. Aktuelle Payload-Formate | | | | Exploit | | CrossC2-Framework – Generator für CobaltStrikes plattformübergreifendes Beacon | | | | Exploit | | CrossC2Kit bietet Benutzern einige Schnittstellen zur Manipulation der CrossC2-Beacon-Sitzung und erweitert damit die Funktionalität von Cobalt Strike. | | | | Exploit | | ms17-010-Exploit-Tool und -Scanner. | | | | Exploit | | Eigenständige Version meines AES-PowerShell-Payloads für Cobalt Strike. | | | | Exploit | | CobaltStrike 4.x --> SweetPotato | | | | Exploit | | Privilege-Escalation-Exploits | | | | Exploit | | CVE-2018-4878 | | | | Exploit | | Das einzige derzeit öffentliche ist UACBypass; dessen Readme befindet sich im zugehörigen Ordner. | | | | Exploit | | Lokale Privilege-Escalation-Schwachstelle auf Basis von | | | | Exploit | | Richtet unseren gestuften Web-Delivery-Angriff ein | | | | Exploit | | Implementiert CobaltStrikes Beacon in Go (unter Linux nutzbar) | | | | Exploit | | geacon_pro ist ein in Golang geschriebenes CobaltStrike-Beacon, das Antivirensoftware umgeht und auf dem geacon-Projekt basiert. | | | | Exploit | | In Golang implementiertes CobaltStrike-Stageless-HTTP(S)-Beacon; gegenüber dem geacon-Projekt um zahlreiche Erweiterungen ergänzt | | | | Exploit | | SpoolSystem ist ein CNA-Skript für Cobalt Strike, das den Named-Pipe-Impersonation-Trick des Print Spoolers nutzt, um SYSTEM-Rechte zu erlangen. | | | | Exploit | | CS-Reflective-Loading-Plugin für die PrintNightMare-LPE-Privilege-Escalation-Schwachstelle. Sofort einsatzbereit; umgeht Defender/EDR durch In-Memory-Laden und Verschleierung des geladenen Treibernamens | | | | Exploit | | KRBTGS ist eine Post-Exploitation-Option für Cobalt Strike, um ein gültiges TGT für den aktuellen Benutzer abzurufen, unter dem Beacon läuft oder dessen Identität es angenommen hat. Der Angriff benötigt das Passwort des Benutzers nicht und setzt lediglich voraus, dass sich der Benutzer, unter dem du ausgeführt wirst, in einer domänengebundenen Umgebung befindet. Er versucht, den Verschlüsselungstyp zu erraten, indem er vom stärksten zum schwächsten wählt. Die resultierende .ccache-Datei kann in das KIRBI-Format konvertiert werden, um sie in andere Beacons zu importieren oder an andere Tool-Sets wie Impackets Beispielskripte weiterzugeben, um deine Post-Exploitation-Vorhaben umzusetzen. | | | | Exploit | | Reflective-DLL-Implementierung von PrintSpoofer zur Verwendung mit Cobalt Strike | | | | Persistence | | persistence-aggressor-script | | | | Persistence | | Verzichtet auf die Winexec-Funktion und verwendet die ShellExecute-Funktion; der Programmfluss ruckelt nicht mehr und bleibt wirklich unbemerkt. | | | | Persistence | | TikiTorch folgt demselben Konzept (), bietet jedoch mehrere Arten der Prozessinjektion, die vom Benutzer zur Kompilierzeit festgelegt werden können. | | | | Persistence | | Ein JavaScript- und VBScript-Shellcode-Launcher. Er startet eine 32-Bit-Version der angegebenen Binärdatei und injiziert Shellcode in sie. | | | | Persistence | | Lädt frpc hoch und führt frpc aus | | | | Persistence | | | | | | Persistence | | Automatisiert die Generierung von Payloads mithilfe der GadgetToJScript-Technik. | | | | Persistence | | Modifizierte Version von frp 0.33; umgeht Datenverkehrserkennung, AV-bypass-fähig, unterstützt das Laden remote gehosteter Konfig### 0x05 Verwandte Tools

---

Mehr lesen