BeaconHunter

Outil de surveillance et de chasse basé sur le comportement, développé en C# utilisant le traçage ETW. Les équipes bleues peuvent utiliser cet outil pour détecter et répondre aux potentiels beacons Cobalt Strike. Les équipes rouges peuvent utiliser cet outil pour étudier les contournements ETW et découvrir de nouveaux processus qui se comportent comme des beacons.

Auteur: Andrew Oliveau (@AndrewOliveau)

TL;DR

Les implants Beacon injectés dans un processus bénin vivent dans un thread avec un état Wait:DelayExecution (probablement lié au sleep de Cobalt Strike). Trouvez tous les processus contenant un thread dans un état Wait:DelayExecution. Ensuite, exploitez le traçage ETW pour surveiller spécifiquement l'activité suspecte des threads :

Rappels HTTP/HTTPS
Requêtes DNS
Système de fichiers (cd,ls,upload,rm)
Terminaison de processus (kill)
Commandes shell (run,execute)

Notez le comportement suspect. Consignez, affichez et agissez contre eux.

Construction / Installation

Pré-compilé

Release

ou git clone et allez dans le dossier Release.

Version .NET Framework

4.5

Nuggets :

Outils -> Gestionnaire de packages NuGet -> Console du gestionnaire de packages

Install-Package ConsoleTables -Version 2.4.2
Install-Package Microsoft.Diagnostics.Tracing.TraceEvent -Version 2.0.64
Install-Package System.Runtime.InteropServices.RuntimeInformation -Version 4.3.0

Exécution de BeaconHunter

Ouvrez PowerShell ou CMD en tant qu'Administrateur
.\BeaconHunter.exe

SURVEILLANCE

Score du Beacon Réseau

Le score est déterminé en calculant la différence de temps entre les rappels du beacon (delta), puis en calculant la dérivée première de delta, et en appliquant le résultat à une fonction inverse 100/x où x est la dérivée première de delta. (Remarque : Il existe probablement une meilleure méthode, mais celle-ci fonctionne)