outflanknl/c2-tool-collectionUne collection d'outils qui s'intègrent à Cobalt Strike (et éventuellement à d'autres frameworks C2) via les techniques de BOF et de chargement de DLL réflexif.
Ce dépôt contient une collection d'outils qui s'intègrent avec Cobalt Strike (et éventuellement d'autres frameworks C2) via les techniques BOF et de chargement de DLL réflectives.
Ces outils ne font pas partie de notre produit commercial OST et sont écrits dans le but de contribuer à la communauté à laquelle nous devons beaucoup. Actuellement, ce dépôt contient une section avec des outils BOF (Beacon Object Files) et une section avec d'autres outils (exploits, DLL réflectives, etc.). Tous ces outils sont écrits par les membres de notre équipe et sont utilisés par nous dans des missions d'équipe rouge. Au fil du temps, d'autres outils seront ajoutés ou modifiés avec de nouvelles techniques ou fonctionnalités.
L'ensemble d'outils se compose actuellement des outils suivants :
Beacon Object Files (BOF)
| Nom | Description |
|---|---|
| AddMachineAccount | Abuser des paramètres de quota de machine Active Directory par défaut (ms-DS-MachineAccountQuota) pour ajouter des comptes machines malveillants. |
| Askcreds | Recueille les mots de passe en les demandant simplement. |
| CVE-2022-26923 | Exploit d'élévation de privilèges de domaine Active Directory (ADCS) CVE-2022-26923. |
| Domaininfo | Énumérer les informations du domaine à l'aide des services de domaine Active Directory. |
| FindObjects | Énumérer les processus pour des modules chargés spécifiques ou des handles de processus. |
| Kerberoast | Lister tous les comptes utilisateur/service avec SPN activé ou demander des tickets de service (TGS-REP) qui peuvent être craqués hors ligne avec HashCat. |
| KerbHash | Hacher le mot de passe en clés Kerberos (rc4_hmac, aes128_cts_hmac_sha1, aes256_cts_hmac_sha1 et des_cbc_md5). |
| Klist | Affiche une liste des tickets Kerberos actuellement mis en cache. |
| Lapsdump | Extraire les mots de passe LAPS d'ordinateurs spécifiés dans Active Directory. |
| PetitPotam | Implémentation BOF de l'attaque PetitPotam publiée par @topotam77. |
| Psc | Afficher des informations détaillées sur les processus avec des connexions TCP et RDP établies. |
| Psw | Afficher les titres de fenêtres des processus avec des fenêtres actives. |
| Psx | Afficher des informations détaillées de tous les processus en cours d'exécution sur le système et fournit un résumé des produits et outils de sécurité installés. |
| Psm | Afficher des informations détaillées à partir d'un identifiant de processus spécifique (modules chargés, connexions TCP par exemple). |
| Psk | Afficher des informations détaillées du noyau Windows et des modules pilotes chargés et fournit un résumé des produits de sécurité installés (pilotes AV/EDR). |
| ReconAD | Utiliser ADSI pour interroger les objets et attributs Active Directory. |
| Smbinfo | Recueillir des informations de version du système distant à l'aide de l'API NetWkstaGetInfo sans avoir à exécuter le scanner de port Cobalt Strike (tcp-445). |
| SprayAD | Effectuer une attaque rapide de pulvérisation de mots de passe Kerberos ou LDAP contre Active Directory. |
| StartWebClient | Démarrer le service WebClient par programme à partir du contexte utilisateur à l'aide d'un déclencheur de service. |
| WdToggle | Patcher lsass pour activer la mise en cache des informations d'identification WDigest et contourner Credential Guard (si activé). |
| Winver | Afficher la version de Windows en cours d'exécution, le numéro de build et la version du correctif (Update Build Revision). |
Autres
| Nom | Description |
|---|---|
| PetitPotam | Implémentation DLL réflective de l'attaque PetitPotam publiée par @topotam77 |
| RemotePipeList | Outil .NET pour énumérer les tubes nommés distants |
make dans le sous-dossier BOF.