wkl-sec/hiddendesktopHVNC pour Cobalt Strike
Hidden Desktop (souvent appelé HVNC) est un outil qui permet aux opérateurs d'interagir avec une session de bureau à distance sans que l'utilisateur le sache. Le protocole VNC n'est pas impliqué, mais le résultat est une expérience similaire. Cette implémentation BOF pour Cobalt Strike a été créée comme alternative à TinyNuke/forks écrits en C++.
Il y a quatre composants dans Hidden Desktop :
Initialiseur BOF : Petit programme responsable de l'injection du code HVNC dans le processus Beacon.
Shellcode HVNC : Implémentation PIC du HVNC de TinyNuke.
Serveur et interface opérateur : Serveur qui écoute les connexions du shellcode HVNC et une interface qui permet à l'opérateur d'interagir avec le bureau distant. Ne prend actuellement en charge que Windows.
BOF de lancement d'applications : Ensemble de fichiers objet Beacon qui exécutent des applications dans le nouveau bureau.
Téléchargez la dernière version ou compilez vous-même avec make. Démarrez le serveur HVNC sur une machine Windows accessible depuis le teamserver. Vous pouvez ensuite exécuter le client avec :
HiddenDesktop <server> <port>
Vous devriez voir une nouvelle fenêtre vide sur la machine serveur. Le BOF n'exécute aucune application par défaut. Vous pouvez utiliser les BOF de lancement d'applications pour exécuter des programmes courants sur le nouveau bureau :
hd-launch-edge
hd-launch-explorer
hd-launch-run
hd-launch-cmd
hd-launch-chrome
Vous pouvez également lancer des programmes via l'Explorateur de fichiers à l'aide de la souris et du clavier. D'autres applications peuvent être exécutées avec la commande suivante :
hd-launch <command> [args]
https://github.com/WKL-Sec/HiddenDesktop/assets/9327972/82f73393-ba44-42b4-8eae-b36b7181fac0
Le script Aggressor génère des noms de pipe et de bureau aléatoires. Ceux-ci sont passés à l'initialiseur BOF comme arguments. Le nom du bureau est stocké dans les préférences CS lors de l'exécution et est utilisé par les BOF de lancement d'applications. Le trafic HVNC est renvoyé au serveur d'équipe via rportfwd. Les mises à jour de statut sont renvoyées à Beacon via un pipe nommé.
L'initialiseur BOF commence par résoudre les modules et fonctions requis. Les arguments du script Aggressor sont résolus. Un pointeur vers une structure contenant les arguments et les adresses des fonctions est passé à la fonction InputHandler dans le shellcode HVNC. Il utilise BeaconInjectProcess pour exécuter le shellcode, ce qui signifie que le comportement peut être personnalisé dans un profil C2 Malleable ou avec des BOF d'injection de processus. Vous pourriez modifier Hidden Desktop pour cibler des processus distants, mais cela n'est actuellement pas pris en charge. Ceci est fait pour que le BOF puisse se terminer et que le shellcode HVNC continue de s'exécuter.
InputHandler crée un nouveau pipe nommé pour que Beacon s'y connecte. Une fois la connexion établie, le bureau spécifié est ouvert (OpenDesktopA) ou créé (CreateDesktopA). Une nouvelle socket est établie via un port forwarding inversé (rportfwd) vers le serveur HVNC. Le gestionnaire d'entrée crée un nouveau thread pour la fonction DesktopHandler décrite ci-dessous. Ce thread recevra les entrées de souris et de clavier du serveur HVNC et les transmettra au bureau.
Le BOF HiddenDesktop a été testé avec example.profile sur les versions/architectures Windows suivantes :
DesktopHandler établit une connexion socket supplémentaire au serveur HVNC via le port forwarding inversé. Ce thread surveillera les fenêtres pour détecter les changements et les transmettra au serveur HVNC.