BokuLoader : Chargeur réflectif Cobalt Strike

Un chargeur réflectif défini par l'utilisateur (UDRL) proof-of-concept qui vise à recréer, intégrer et améliorer les fonctionnalités d'évasion de Cobalt Strike !

Contributeurs :

Contributeur	Twitter	Contributions notables
Bobby Cooke	@0xBoku	Auteur et mainteneur d'origine du projet
Santiago Pecin	@s4ntiago_p	Améliorations majeures du chargeur réflectif
Chris Spehn	@ConsciousHacker	Scripting Aggressor
Joshua Magri	@passthehashbrwn	Hooking IAT
Dylan Tran	@d_tranman	Spoofing de pile d'appels réflectif
James Yeung	@5cript1diot	Appels système indirects

Considérations d'utilisation de l'UDRL

Le chargeur réflectif intégré de Cobalt Strike est robuste et prend en charge toutes les fonctionnalités d'évasion Malleable PE que Cobalt Strike offre. Le principal inconvénient de l'utilisation d'un UDRL personnalisé est que les fonctionnalités d'évasion Malleable PE peuvent ou non être prises en charge immédiatement.

L'objectif du projet public BokuLoader est d'aider les red teams à créer leur propre UDRL Cobalt Strike interne. Le projet vise à prendre en charge toutes les fonctionnalités d'évasion Malleable PE de CS qui en valent la peine. Certaines fonctionnalités d'évasion s'appuient sur l'intégration de CS, d'autres ont été entièrement recréées, et certaines ne sont pas prises en charge.

Avant d'utiliser ce projet, sous quelque forme que ce soit, vous devez tester correctement que les fonctionnalités d'évasion fonctionnent comme prévu. Entre le code C et le script Aggressor, la compilation avec différentes versions de systèmes d'exploitation, de compilateurs et de Java peut donner des résultats différents.

Fonctionnalités d'évasion

Fonctionnalités d'évasion spécifiques à BokuLoader

• Spoofing de la pile d'appels réflectif via des trames synthétiques.
• Code de chargeur réflectif personnalisé en ASM/C
• Appels système NT indirects via les techniques HellsGate et HalosGate
  • Toutes les modifications de protection mémoire pour toutes les options d'allocation sont effectuées via un appel système indirect à NtProtectVirtualMemory
• obfuscate "true" avec implémentation personnalisée du script Aggressor UDRL.
• NOHEADERCOPY
  • Le chargeur ne copiera pas les en-têtes de la beacon DLL brute vers la beacon DLL virtuelle. Les premiers 0x1000 octets seront des zéros.
• XGetProcAddress pour résoudre les symboles
  • N'utilise pas Kernel32.GetProcAddress
• xLoadLibrary pour résoudre l'adresse de base des DLL et le chargement des DLL
  • Pour les DLL chargées, obtient l'adresse de base de la DLL depuis TEB->PEB->PEB_LDR_DATA->InMemoryOrderModuleList
  • N'utilise pas Kernel32.LoadLibraryA
• Chiffrement de César pour l'obfuscation des chaînes
• Taille UDRL de 100k
• Les noms de DLL importées et les chaînes des noms d'entrées d'importation sont écrasés dans la beacon DLL virtuelle.

Fonctionnalités d'évasion Malleable PE prises en charge

Commande	Option(s)	Prise en charge
allocator	HeapAlloc, MapViewOfFile, VirtualAlloc	Toutes prises en charge via l'implémentation BokuLoader
module_x64	string (DLL Name)	Pris en charge via l'implémentation BokuLoader. Les mêmes exigences de DLL stomping que l'implémentation CS s'appliquent
obfuscate	true/false	Beacons HTTP/S pris en charge via l'implémentation BokuLoader. SMB/TCP n'est actuellement pas pris en charge pour obfuscate true. Détails dans le ticket. Aide acceptée si vous pouvez corriger :)
entry_point	RVA as decimal number	Pris en charge via l'implémentation BokuLoader
cleanup	true	Pris en charge via l'intégration CS
userwx	true/false	Pris en charge via l'implémentation BokuLoader
sleep_mask	(true/false) or (Sleepmask Kit+true)	Pris en charge. Lorsque vous utilisez le « sleepmask true » par défaut (sans kit sleepmask), définissez « userwx true ». Lorsque vous utilisez le kit sleepmask qui prend en charge la mémoire RX beacon.text (src47/Ekko), définissez « sleepmask true » et « userwx false ».
magic_mz_x64	4 char string	Pris en charge via l'intégration CS
magic_pe	2 char string	Pris en charge via l'intégration CS
transform-x64 prepend	escaped hex string	Modification du script Aggressor BokuLoader.cna
transform-x64 strrep	string string	Modification du script Aggressor BokuLoader.cna
stomppe	true/false	Non pris en charge. BokuLoader ne copie pas les en-têtes de la beacon DLL. Les premiers 0x1000 octets de la beacon DLL virtuelle sont 0x00
checksum	number	Expérimental. Modification du script Aggressor BokuLoader.cna
compile_time	date-time string	Expérimental. Modification du script Aggressor BokuLoader.cna
image_size_x64	decimal value	Non pris en charge
name	string	Expérimental. Modification du script Aggressor BokuLoader.cna
rich_header	escaped hex string	Expérimental. Modification du script Aggressor BokuLoader.cna
stringw	string	Non pris en charge
string	string	Non pris en charge

Test

• (2/22/23) Toutes les 4 méthodes d'allocation testées avec threatexpress/malleable-c2/master/jquery-c2.4.7.profile

Origines du projet

• Basé sur l'incroyable projet Reflective Loader de Stephen Fewer :
  • https://github.com/stephenfewer/ReflectiveDLLInjection
• Initialement créé en travaillant sur les vidéos Reflective DLL de Renz0h du cours Sektor7 Malware Developer Intermediate (MDI)

Utilisation

1. Compilez le fichier objet BokuLoader avec make
2. Démarrez votre serveur d'équipe Cobalt Strike
3. Dans Cobalt Strike, importez le script Aggressor BokuLoader.cna
4. Générez la beacon x64 (Attacks -> Packages -> Windows Executable (S))
5. Utilisez la Script Console pour vous assurer que BokuLoader a été implémenté dans la build de la beacon

• Ne prend pas en charge l'option x86. Le binaire x86 est le fichier objet du Reflective Loader d'origine.
• La génération de beacons RAW fonctionne immédiatement. Lorsque vous utilisez l'Artifact Kit pour le chargeur de beacon, la variable stagesize doit être plus grande que la valeur par défaut.
  • Consultez la documentation Cobalt Strike User-Defined Reflective Loader pour plus d'informations

Conseils de détection

Chaînes codées en dur

• BokuLoader remplace certaines chaînes couramment détectées par de nouvelles valeurs codées en dur. Ces chaînes peuvent être utilisées pour signer BokuLoader :

Chaîne Cobalt Strike d'origine	Chaîne Cobalt Strike BokuLoader
ReflectiveLoader	BokuLoader
Microsoft Base Cryptographic Provider v1.0	12367321236742382543232341241261363163151d
(admin)	(tomin)
beacon	bacons

Allocateurs mémoire