LSTAR - Aggressor

Un plugin que va desde el compromiso inicial hasta el control del dominio, logrando el movimiento lateral por la red interna

Con el objetivo de simplificar el menú contextual de CS y facilitar la integración propia, se han tomado como referencia numerosos plugins de post-explotación

Se han reestructurado y ampliado funciones como la obtención de credenciales del host, la penetración de redes internas multinivel, las tareas programadas ocultas, el Mimikatz con evasión de AV y la clonación y adición de usuarios

Características:

Al combinarse con los métodos de conexión de hosts sin salida a Internet de CobaltStrike (TCP, SMB, Proxy, etc.), permite atravesar entornos de red complejos
Para funciones como RDP, AddUser y LsassDump, ofrece múltiples métodos de ejecución con evasión de AV para hacer frente a entornos poco comunes
Integra múltiples funciones de evasión de AV, como usuarios sombra y tareas programadas ocultas, que se ejecutan mediante WinAPI o carga en memoria con Assembly

Incluye principalmente los siguientes módulos funcionales:

Cada módulo añade una línea divisoria verde antes de ejecutarse, lo que facilita localizar la información de salida y mejora la eficiencia de la colaboración

Complemento de notificación por WeChat cuando un host se conecta a CobaltStrike:

Si desea utilizar el método gratuito compatible con el envío de mensajes de plantilla de WeChat, visite: https://github.com/lintstar/CS-PushPlus

Si está suscrito al canal de notificaciones push de WeChat Work de ServerChan, visite: https://github.com/lintstar/CS-ServerChan

Descargo de responsabilidad

Este proyecto es únicamente para investigación de seguridad y actividades legítimas de construcción de seguridad empresarial. Todas las consecuencias y responsabilidades son asumidas por el propio usuario.

Actualización 2022.1.15

Se añadieron funciones de clonación de usuarios, adición de usuarios y tareas programadas con evasión de AV
Se obtienen el código de identificación y el código de verificación de la última versión de Sunflower
Se integraron funciones como la detección de hosts activos multiprotocolo de la versión 9.1.1 de Ladon
Se clasificaron las funciones y se simplificó el menú secundario del plugin

InfoCollect

Los comandos de uso común se han clasificado según el escenario

SharpGetInfo

Integra la última versión pública 9.1.1 de Ladon

AntiVirusCheck

Muestra localmente la información del antivirus en la barra de estado de Beacon

Principio de implementación: https://blog.csdn.net/weixin_42282189/article/details/121090055

IntrScan

Se añadió la detección de hosts activos multiprotocolo de Ladon (SMB, WMI, SNMP, HTTP, DNS, MAC, MSSQL)

Hasta cierto punto, puede detectar activos de la red interna detrás de cortafuegos: Uso de MAC para evadir el cortafuegos y detectar hosts activos

Detección de IP activas

AuthPromote

BadPotato (BeichenDream)

Se corrigió el error que solo permitía ejecutar whoami; ahora se puede obtener una sesión con privilegios de System mediante parámetros

Badpotato (Ladon)

Se añadió el Badpotato de Ladon

SweetPatato (Ladon)

Nota: las pruebas han revelado que los dos métodos de escalada de privilegios anteriores son interceptados y eliminados por el antivirus 360

AuthMaintain

SharpSchTask

【Usar con precaución】Se utiliza la API de Windows para crear de forma programática tareas programadas ocultas, evadiendo el bloqueo del software de seguridad, con el fin de lograr un control persistente.

Dirección del proyecto: https://github.com/0x727/SchTask_0x727