sentinel-one/cobaltstrikeparserAnalizador de Python para extraer configuraciones de CobaltStrike Beacon desde archivos PE, volcados de memoria y URLs C2 mediante descifrado XOR heurístico y análisis estructurado de configuraciones.
Analizador Python para la configuración de Beacons de CobaltStrike
Use parse_beacon_config.py para beacons sin etapa, volcados de memoria o URLs C2 con modo de compatibilidad con metasploit (predeterminado true).
Muchos beacons sin etapa son PE donde el propio código del beacon está almacenado en la sección .data y se aplica XOR con una clave de 4 bytes.
El script intenta encontrar la clave XOR y los datos heurísticamente, descifrar los datos y analizar la configuración a partir de ellos.
Está diseñado para que también pueda usarse como biblioteca.
El repositorio ahora también incluye un pequeño módulo de comunicación (comm.py) que puede ayudar a comunicarse con un servidor C2 como un beacon.
usage: parse_beacon_config.py [-h] [--json] [--quiet] [--version VERSION] beacon
Parses CobaltStrike Beacon's configuration from PE, memory dump or URL.
positional arguments:
beacon This can be a file path or a url (if started with http/s)
optional arguments:
-h, --help show this help message and exit
--json Print as json
--quiet Do not print missing or empty settings
--version VERSION Try as specific cobalt version (3 or 4). If not specified, tries both.
Para usar la prueba de concepto de comunicación, cópiela en la carpeta principal y ejecútela desde allí. Para instalar la biblioteca M2Crypto (un requisito para la prueba de concepto) en Windows, es más fácil con instaladores encontrados en línea, y no a través de pip.