Crystal Kit

Este repositorio es un experimento técnico y social para explorar si reemplazar las primitivas de evasión de Cobalt Strike (Sleepmask/BeaconGate) con un PICO de Crystal Palace es factible (o incluso deseable) para escenarios avanzados de evasión.

Uso

1. Deshabilite las ofuscaciones de sleepmask y stage en Malleable C2.

stage {
    set sleep_mask "false";
    set cleanup "true";
    transform-obfuscate { }
}

post-ex {
    set cleanup "true";
    set smartinject "true";
}

2. Copie crystalpalace.jar a su directorio de cliente de Cobalt Strike.
3. Cargue crystalkit.cna.

Notas

• Probado en Cobalt Strike 4.12.
• Puede funcionar con cualquier capacidad de DLL post-ex.