CobaltBus

Intégration C2 externe de Cobalt Strike avec Azure Servicebus, trafic C2 via Azure Servicebus

Configuration

1. Créez un Azure Service Bus
2. Créez une stratégie d'accès partagé (chaîne de connexion) qui ne peut qu'envoyer et écouter
3. Modifiez la variable statique connectionString dans les projets C# Beacon pour qu'elle corresponde à la valeur « Primary Connection String » de la stratégie d'accès partagé créée à l'étape 2.
4. Les mêmes variables doivent être mises à jour pour le projet CobaltBus, mais la « Primary Connection String » de la stratégie d'accès partagé « RootManageSharedAccessKey » doit être utilisée. (Nécessite la permission « manage »)
5. Configurez Cobalt et démarrez un écouteur External C2 sur le port 4444, 127.0.0.1 (peut être modifié en éditant les variables ExternalC2Port ExternalC2Ip dans le projet C#)

Vidéo de démonstration

Comment ça fonctionne ?

Le binaire DotNetCore CobaltBus qui s'intègre avec ExternalC2 de CobaltStrike, créera une base de données Sqlite locale afin de suivre plusieurs beacons. Les messages entrants dans CobaltBus seront capturés et écrits dans la base de données. Les bases de données nommées « CobaltBus.db » et « CobaltBus-log.db » seront créées dans le répertoire à partir duquel CobaltBus.dll est exécuté. Lorsqu'un binaire Beacon s'exécute, il envoie un message « INITIALIZE » à la file d'attente baseQueueName, avec un BeaconId et un Pipename générés aléatoirement. Le gestionnaire CobaltBus capture alors cela, crée et passe dans les deux nouvelles files d'attente basées sur le BeaconId envoyé, demande le shellcode stager à CobaltStrike, et le renvoie dans la nouvelle file d'attente en tant que message « INJECT ». À partir de là, le projet Beacon injecte le shellcode capturé en mémoire et établit une connexion avec le beacon CobaltStrike via le nom de pipe généré. Lorsqu'une commande est émise depuis CobaltBus, elle est poussée dans la file d'attente respective du beacon et dans le nom de pipe du beacon.