GeolocationBOF

Un BOF de Cobalt Strike que intenta recuperar coordenadas de geolocalización de Windows sin fork & run. Utiliza primero la API WinRT Geolocator y recurre a la API ILocation heredada.

Implementación

BOF simple que utiliza geolocalización WinRT con un respaldo ILocation heredado. Modificará las siguientes claves del registro:

• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location\NonPackaged\<encoded process path>
  • Value = Allow
• Solo administrador: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• Solo administrador: HKLM\SOFTWARE\Policies\Microsoft\Windows\LocationAndSensors
  • DisableLocation = 0
  • DisableWindowsLocationProvider = 0
• Solo administrador: HKLM\SOFTWARE\Policies\Microsoft\Windows\AppPrivacy
  • LetAppsAccessLocation = 1
• Solo administrador: HKLM\SYSTEM\CurrentControlSet\Services\lfsvc\Service\Configuration
  • Status = 1

La ejecución como administrador también cambia temporalmente el tipo de inicio del servicio lfsvc a inicio bajo demanda e intenta iniciar el servicio.

Todos los cambios se deshacen después de la ejecución.

Compilación propia

1. git clone el repositorio
2. ejecute make

Uso

1. importe el script GeoLocationBOF.cna en Cobalt Strike
2. use el comando geolocation_bof

beacon> geolocation_bof
[*] Running geolocation_bof by (@codex_tf2)
[+] host called home, sent: 30095 bytes
[+] received output:
latitude=12.34567890
longitude=-12.34567890
accuracy_radius_meters=25.00

Notas

• Los servicios de ubicación de Windows deben estar disponibles en el objetivo.
• La configuración de privacidad de ubicación, las políticas, los sensores y la disponibilidad del proveedor pueden impedir los resultados.
• Se requiere contexto de administrador para habilitar el permiso de ubicación si aún no se ha concedido.
• Se realizan cambios temporales en el registro para otorgar permisos de ubicación y se restauran antes de que el BOF termine.
• No se realiza ninguna evasión: aplique su propio OPSEC.

¿Por qué hice esto?

Este BOF está diseñado para proporcionar una forma directa dentro del proceso de solicitar datos de geolocalización de Windows.

Créditos

• https://github.com/MEhrn00/boflink

Descargo de responsabilidad

el descargo de responsabilidad habitual aquí, no soy responsable de ningún crimen contra la humanidad que pueda cometer o guerra nuclear que pueda causar usando este fragmento de código mal escrito.