Cobalt Strike CheatSheet

Notas generales y consejos para el framework C2 Cobalt Strike.

Resumen

Cobalt Strike: El primer y más básico menú, contiene la funcionalidad para conectarse a un team server, establecer tus preferencias, cambiar la vista de las sesiones de beacon, gestionar listeners y aggressor scripts.
View: El menú View consta de elementos que gestionan objetivos, registros, credenciales recolectadas, capturas de pantalla, pulsaciones de teclas, etc. Su propósito principal es proporcionar una forma sencilla de acceder a la salida de muchos módulos, gestionar tu botín y los objetivos de dominio.
Attacks: Este menú contiene numerosos métodos de generación de ataques del lado del cliente, como correos de phishing, clonación de sitios web y alojamiento de archivos. También proporciona numerosas formas de generar tus payloads de beacon o simplemente generar shellcode y guardarlo para usarlo más tarde en otra herramienta de ofuscación.
Reporting: Proporciona una forma sencilla de generar archivos pdf u hojas de cálculo que contienen información sobre la ejecución de un ataque, de esta manera te ayuda a organizar pequeños informes, facilitando el proceso final de redacción del informe.
Help: Menú de ayuda básico de la herramienta.

HTTP/HTTPS: Los payloads más básicos para beacon; por defecto los listeners escucharán en los puertos 80 y 443, siempre con la opción de establecer puertos personalizados. Tienes la opción de establecer configuraciones de proxy, personalizar la cabecera HTTP o especificar un puerto de enlace para redirigir el tráfico de beacon si la infraestructura utiliza servidores redirector para las llamadas de retorno del payload.
DNS: Una opción de payload muy sigilosa, proporciona un tráfico más sigiloso a través del protocolo dns; necesitas especificar el servidor DNS al que conectarse. La mejor situación para usar este tipo de listener es en un entorno realmente restringido que bloquee incluso el tráfico común como el puerto 80 y 443.

TCP: Un listener tcp básico que se enlaza a un puerto específico.
SMB: Una opción increíble para la propagación interna y el movimiento lateral; este payload utiliza named pipes sobre el protocolo smb y es el mejor enfoque para eludir firewalls cuando incluso los puertos predeterminados como el 80 y el 443 están en lista negra.

Foreign HTTP/HTTPS: Este tipo de listeners nos dan la opción de pasar una sesión desde el framework metasploit a cobalt strike usando payloads http o https. Un ejemplo útil es ejecutar un módulo de exploit desde metasploit y obtener una sesión de beacon en cobalt strike.
External C2: Este es un tipo especial de listener que da la opción a aplicaciones de terceros de actuar como medio de comunicación para beacon.