BokuLoader : Chargeur Réflexif pour Cobalt Strike

Une preuve de concept de Chargeur Réflexif Défini par l'Utilisateur (UDRL) qui vise à recréer, intégrer et améliorer les fonctionnalités d'évasion de Cobalt Strike !

Contributeurs :

Contributeur	Twitter	Contributions notables
Bobby Cooke	@0xBoku	Auteur original et mainteneur du projet
Santiago Pecin	@s4ntiago_p	Améliorations majeures du chargeur réflexif
Chris Spehn	@ConsciousHacker	Scripting Aggressor
Joshua Magri	@passthehashbrwn	Accrochage IAT
Dylan Tran	@d_tranman	Usurpation de la pile d'appels réflexive
James Yeung	@5cript1diot	Appels système indirects

Considérations d'utilisation de l'UDRL

Le chargeur réflexif intégré de Cobalt Strike est robuste, gérant toutes les fonctionnalités d'évasion PE Malleable que Cobalt Strike a à offrir. Le principal inconvénient de l'utilisation d'un UDRL personnalisé est que les fonctionnalités d'évasion PE Malleable peuvent ou non être prises en charge directement.

L'objectif du projet public BokuLoader est d'aider les équipes rouges à créer leur propre UDRL Cobalt Strike interne. Le projet vise à prendre en charge toutes les fonctionnalités d'évasion PE Malleable de CS qui en valent la peine. Certaines fonctionnalités d'évasion tirent parti de l'intégration CS, d'autres ont été entièrement recréées, et certaines ne sont pas prises en charge.

Avant d'utiliser ce projet, sous quelque forme que ce soit, vous devez tester correctement que les fonctionnalités d'évasion fonctionnent comme prévu. Entre le code C et le script Aggressor, la compilation avec différentes versions de systèmes d'exploitation, de compilateurs et de Java peut donner des résultats différents.

Fonctionnalités d'évasion

Fonctionnalités d'évasion spécifiques à BokuLoader

• Usurpation de la pile d'appels réflexive via des trames synthétiques.
• Code de chargeur réflexif personnalisé en ASM/C
• Appels système NT indirects via les techniques HellsGate et HalosGate
  • Toutes les modifications de protection mémoire pour toutes les options d'allocation sont effectuées via un appel système indirect à NtProtectVirtualMemory
• obfuscate "true" avec implémentation de script Aggressor UDRL personnalisé.
• NOHEADERCOPY
  • Le chargeur ne copiera pas les en-têtes de la DLL beacon brute vers la DLL beacon virtuelle. Les premiers 0x1000 octets seront des zéros.
• XGetProcAddress pour résoudre les symboles
  • N'utilise pas Kernel32.GetProcAddress
• xLoadLibrary pour résoudre l'adresse de base de la DLL et le chargement de la DLL
  • Pour les DLL chargées, obtient l'adresse de base de la DLL depuis TEB->PEB->PEB_LDR_DATA->InMemoryOrderModuleList
  • N'utilise pas Kernel32.LoadLibraryA
• Chiffrement César pour l'obfuscation des chaînes
• Taille UDRL de 100k
• Les noms de DLL importées et les chaînes de noms d'entrée d'importation sont écrasés dans la DLL beacon virtuelle.

Fonctionnalités d'évasion PE Malleable prises en charge

Commande	Option(s)	Pris en charge
allocator	HeapAlloc, MapViewOfFile, VirtualAlloc	Tous pris en charge via l'implémentation BokuLoader
module_x64	chaîne (Nom de la DLL)	Pris en charge via l'implémentation BokuLoader. Mêmes exigences d'écrasement de DLL que l'implémentation CS
obfuscate	true/false	Les beacons HTTP/S sont pris en charge via l'implémentation BokuLoader. Les SMB/TCP ne sont actuellement pas pris en charge pour obfuscate true. Détails dans le problème. Acceptez l'aide si vous pouvez corriger :)
entry_point	RVA en nombre décimal	Pris en charge via l'implémentation BokuLoader
cleanup	true	Pris en charge via l'intégration CS
userwx	true/false	Pris en charge via l'implémentation BokuLoader
sleep_mask	(true/false) ou (Sleepmask Kit+true)	Pris en charge. Lors de l'utilisation de "sleepmask true" par défaut (sans kit sleepmask), définir "userwx true". Lors de l'utilisation du kit sleepmask qui prend en charge la mémoire RX beacon.text (src47/Ekko), définir "sleepmask true" && "userwx false".
magic_mz_x64	chaîne de 4 caractères	Pris en charge via l'intégration CS
magic_pe	chaîne de 2 caractères	Pris en charge via l'intégration CS
transform-x64 prepend	chaîne hexadécimale échappée	Modification du script Aggressor BokuLoader.cna
transform-x64 strrep	chaîne chaîne	Modification du script Aggressor BokuLoader.cna
stomppe	true/false	Non pris en charge. BokuLoader ne copie pas les en-têtes de la DLL beacon. Les premiers 0x1000 octets de la DLL beacon virtuelle sont 0x00
checksum	nombre	Expérimental. Modification du script Aggressor BokuLoader.cna
compile_time	chaîne date-heure	Expérimental. Modification du script Aggressor BokuLoader.cna
image_size_x64	valeur décimale	Non pris en charge
name	chaîne	Expérimental. Modification du script Aggressor BokuLoader.cna
rich_header	chaîne hexadécimale échappée	Expérimental. Modification du script Aggressor BokuLoader.cna
stringw	chaîne	Non pris en charge
string	chaîne	Non pris en charge

Test

• (22/02/23) Les 4 méthodes d'allocateur testées avec threatexpress/malleable-c2/master/jquery-c2.4.7.profile

Origines du projet

• Basé sur l'incroyable projet de chargeur réflexif de Stephen Fewer :
  • https://github.com/stephenfewer/ReflectiveDLLInjection
• Créé initialement en travaillant sur les vidéos de DLL réflexive de Renz0h du cours Sektor7 Malware Developer Intermediate (MDI)

Utilisation

1. Compilez le fichier objet BokuLoader avec make
2. Démarrez votre serveur d'équipe Cobalt Strike
3. Dans Cobalt Strike, importez le script Aggressor BokuLoader.cna
4. Générez le beacon x64 (Attacks -> Packages -> Windows Executable (S))
5. Utilisez la Script Console pour vous assurer que BokuLoader a été implémenté dans la construction du beacon

• Ne prend pas en charge l'option x86. Le binaire x86 est le fichier objet du chargeur réflexif original.
• La génération de beacons RAW fonctionne directement. Lors de l'utilisation du kit Artifact pour le chargeur de beacon, la variable stagesize doit être plus grande que la valeur par défaut.
  • Consultez la documentation Cobalt Strike User-Defined Reflective Loader pour plus d'informations

Conseils de détection

Chaînes codées en dur

• BokuLoader modifie certaines chaînes couramment détectées en de nouvelles valeurs codées en dur. Ces chaînes peuvent être utilisées pour signer BokuLoader :

Chaîne Cobalt Strike d'origine	Chaîne Cobalt Strike BokuLoader
ReflectiveLoader	BokuLoader
Microsoft Base Cryptographic Provider v1.0	12367321236742382543232341241261363163151d
(admin)	(tomin)
beacon	bacons

Allocateurs mémoire