GeolocationBOF

Un BOF Cobalt Strike qui tente de récupérer les coordonnées de géolocalisation Windows sans fork & run. Il utilise d'abord l'API WinRT Geolocator et se rabat sur l'API ILocation héritée.

Implémentation

BOF simple qui utilise la géolocalisation WinRT avec un recours à l'ILocation héritée. Modifie les clés de registre suivantes :

• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location\NonPackaged\<encoded process path>
  • Value = Allow
• Administrateur uniquement : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location
  • Value = Allow
• Administrateur uniquement : HKLM\SOFTWARE\Policies\Microsoft\Windows\LocationAndSensors
  • DisableLocation = 0
  • DisableWindowsLocationProvider = 0
• Administrateur uniquement : HKLM\SOFTWARE\Policies\Microsoft\Windows\AppPrivacy
  • LetAppsAccessLocation = 1
• Administrateur uniquement : HKLM\SYSTEM\CurrentControlSet\Services\lfsvc\Service\Configuration
  • Status = 1

L'exécution en tant qu'administrateur modifie également temporairement le type de démarrage du service lfsvc en démarrage à la demande et tente de démarrer le service.

Toutes les modifications sont annulées après l'exécution.

Auto-compilation

1. git clone the repo
2. run make

Utilisation

1. importez le script GeoLocationBOF.cna dans Cobalt Strike
2. utilisez la commande geolocation_bof

beacon> geolocation_bof
[*] Running geolocation_bof by (@codex_tf2)
[+] host called home, sent: 30095 bytes
[+] received output:
latitude=12.34567890
longitude=-12.34567890
accuracy_radius_meters=25.00

Remarques

• Les services de localisation Windows doivent être disponibles sur la cible.
• Les paramètres de confidentialité de la localisation, les stratégies, les capteurs et la disponibilité du fournisseur peuvent empêcher les résultats.
• Un contexte administrateur est requis pour activer l'autorisation de localisation si elle n'est pas déjà accordée.
• Des modifications temporaires du registre sont effectuées pour accorder les autorisations de localisation et restaurées avant la sortie du BOF.
• Aucune évasion n'est effectuée - appliquez votre propre OPSEC.

Pourquoi ai-je créé ceci ?

Ce BOF a pour but de fournir un moyen direct intra-processus pour demander des données de géolocalisation Windows.

Crédits

• https://github.com/MEhrn00/boflink

Avertissement

Avertissement habituel ici, je ne suis pas responsable des crimes contre l'humanité que vous pourriez commettre ou de la guerre nucléaire que vous pourriez provoquer en utilisant ce morceau de code mal écrit.