Commandes d'opérations à distance implémentées à l'aide de fichiers d'objet Beacon.
Ce dépôt constitue un complément à notre dépôt SA précédemment publié. Notre position initiale était que nous ne publierions pas nos outils qui modifient d'autres systèmes, et que nous ne fournirions que des outils de collecte d'informations prêts à l'emploi.
Au fil du temps, nous avons vu de nombreuses autres entreprises de sécurité publiques publier leurs outils offensifs, et nous estimons désormais qu'il est approprié de publier une partie de nos outils offensifs.
Rien dans ce dépôt n'est particulièrement spécial, il s'agit d'opérations Microsoft Windows de base sous forme de BOF. Ces primitives peuvent être utilisées pour une grande variété d'opérations.
Nous avons décidé d'inclure les BOF d'injection que nous utilisons lors des tests de détection EDR. Ces BOF sont fournis tels quels et ne seront pas pris en charge (tout ce qui se trouve sous src/Injection et Injection/*)
Vous êtes libres de les utiliser, mais les issues ouvertes à leur sujet seront fermées sans examen.
| commande | notes |
|---|---|
| adcs_request | Demander un certificat d'enrôlement |
| chromeKey | Déchiffre la clé Chrome fournie encodée en base64 |
| enableuser | Active et déverrouille le compte utilisateur spécifié |
| lastpass | Recherche dans la mémoire de chrome, brave les mots de passe et données lastpass |
| office_tokens | Collecte les jetons JWT Office depuis n'importe quel processus office. |
| procdump | Vide le processus spécifié vers le fichier de sortie spécifié |
| ProcessDestroy | Ferme le(s) handle(s) dans un processus |
| ProcessListHandles | Liste tous les handles ouverts dans un processus spécifié |
| reg_delete | supprime une clé de registre |
| reg_save | Enregistre une ruche de registre sur le disque |
| reg_set | définit / crée une clé de registre |
| sc_config | configure un service existant |
| sc_create | crée un nouveau service |
| sc_delete | supprime un service existant |
| sc_description | Modifie la description d'un service existant |
| sc_start | démarre un service existant |
| sc_stop | arrête un service existant |
| schtaskscreate | Crée une nouvelle tâche planifiée (via une définition xml) |
| schtasksdelete | Supprime une tâche planifiée existante |
| schtasksstop | arrête une tâche planifiée en cours d'exécution |
| setuserpass | Définit le mot de passe d'un utilisateur |
| shspawnas | Une tentative malavisée d'injecter du code dans un processus nouvellement lancé |
Oui schtasksrun est manquant, oui c'est intentionnel, mais si quelqu'un propose une pull request pour l'ajouter je l'accepterai de ce côté.
Ce dépôt est destiné aux primitives Windows à tâche unique. C'est-à-dire que même si cela nécessite plusieurs appels, la création d'une tâche planifiée est appropriée.
Une commande qui tenterait de pré-générer un implant et d'effectuer un mouvement automatisé en utilisant les BOF du dépôt serait géniale, mais n'est pas appropriée pour une soumission directe à ce dépôt.
Après réception de votre contribution, elle fera l'objet d'une revue de code approfondie et de tests.
Une fois les tests terminés, nous aurons zéro ou plusieurs cycles de demandes de modifications basées sur les constats jusqu'à ce qu'il n'y ait plus de problèmes dans le code. À ce moment-là, elle sera acceptée dans le dépôt, et votre nom d'utilisateur github sera ajouté à notre liste de crédits (si vous préférez ne pas être ajouté ou qu'un autre pseudonyme soit utilisé, faites-le moi simplement savoir)
