kuwaitist/astral_projectionUDRL de Cobalt Strike que realiza un avanzado module stomping utilizando VEH para interceptar llamadas, desasignar módulos durante el sueño y reasignar módulos nuevos para evadir IOCs.
Astral Projection es un UDRL (User-Defined Reflective Loader) de Cobalt Strike, que realiza un module stomping avanzado.
El UDRL carga un módulo usando LoadLibraryExW, luego manipula sus internos configurando VEH para interceptar llamadas estratégicas que le permiten robar el handle de sección del DLL sacrificial y actualizar sus derechos de acceso para su uso posterior en la máscara de sueño. Durante el sueño, desmapea el módulo mientras mantiene intactas las entradas PEB, luego reasigna un módulo nuevo para evitar cualquier IOC mientras duerme.
Este proyecto está construido con Crystal Palace. Parte del código fue adoptada del proyecto Crystal-Kit.
Se puede encontrar una publicación técnica que cubre las técnicas utilizadas en detalle aquí.
stage {
set sleep_mask "false";
set cleanup "true";
transform-obfuscate { }
}
post-ex {
set cleanup "true";
set smartinject "true";
}
crystalpalace.jar en el directorio del cliente de Cobalt Strike.Astral_Projection.cna.