octoberfest7/enumhandles_bofCobalt Strike BOF para enumeración en vivo de identificadores de archivos abiertos en Windows, revelando qué proceso ha bloqueado un archivo objetivo en el disco durante la post-explotación.
Este BOF se puede utilizar para identificar procesos que mantienen handles de un archivo determinado. Esto puede ser útil para identificar qué proceso está bloqueando un archivo en el disco.
He descubierto que los beacons x86 a veces se bloquean al intentar enumerar los handles asociados a una imagen x64. Por ejemplo, ejecutar enumhandles c:\windows\sysnative\svchost.exe puede provocar un bloqueo.
Todo el crédito de esta técnica pertenece a Grzegorz Tworek:
El tweet específico sobre esta técnica se puede encontrar aquí.
