unhook-bof

Il s'agit d'un Beacon Object File (BOF) permettant de rafraîchir les DLL et de supprimer leurs hooks. Le code provient des recherches de Cylance sur l'Universal Unhooking :

https://blogs.blackberry.com/en/2017/02/universal-unhooking-blinding-security-software

Pour l'utiliser :

Chargez unhook.cna dans Cobalt Strike via Cobalt Strike -> Script Manager

Exécutez 'unhook' depuis Beacon

Pour compiler :

make

Ce projet est dérivé de :

Reflective DLL Injection BSD 3-Clause License Copyright (c) 2011, Stephen Fewer of Harmony Security (www.harmonysecurity.com) https://github.com/stephenfewer/ReflectiveDLLInjection

ReflectiveDLLRefresher BSD 3-Clause License Copyright (c) 2017, Cylance Inc. https://github.com/CylanceVulnResearch/ReflectiveDLLRefresher

Unhook Meterpreter Extension BSD-3-Clause License 2006-2018, Rapid7, Inc. https://github.com/rapid7/metasploit-payloads/commits/master/c/meterpreter/source/extensions/unhook