BokuLoader : कोबाल्ट स्ट्राइक रिफ्लेक्टिव लोडर

एक प्रूफ-ऑफ-कॉन्सेप्ट यूज़र-डिफाइंड रिफ्लेक्टिव लोडर (UDRL) जो कोबाल्ट स्ट्राइक के एवेज़न फीचर्स को पुनर्निर्मित, एकीकृत और बढ़ाने का लक्ष्य रखता है!

योगदानकर्ता:

योगदानकर्ता	ट्विटर	उल्लेखनीय योगदान
Bobby Cooke	@0xBoku	परियोजना के मूल लेखक और अनुरक्षक
Santiago Pecin	@s4ntiago_p	रिफ्लेक्टिव लोडर में प्रमुख सुधार
Chris Spehn	@ConsciousHacker	एग्रेसर स्क्रिप्टिंग
Joshua Magri	@passthehashbrwn	IAT हुकिंग
Dylan Tran	@d_tranman	रिफ्लेक्टिव कॉल स्टैक स्पूफिंग
James Yeung	@5cript1diot	अप्रत्यक्ष सिस्टम कॉल्स

UDRL उपयोग संबंधी विचार

अंतर्निहित कोबाल्ट स्ट्राइक रिफ्लेक्टिव लोडर मजबूत है, जो कोबाल्ट स्ट्राइक द्वारा प्रदान किए जाने वाले सभी मैलिएबल PE एवेज़न फीचर्स को संभालता है। कस्टम UDRL का उपयोग करने का प्रमुख नुकसान यह है कि मैलिएबल PE एवेज़न फीचर्स आउट-ऑफ-द-बॉक्स समर्थित हो सकते हैं या नहीं।

सार्वजनिक BokuLoader परियोजना का उद्देश्य रेड टीमों को अपना स्वयं का इन-हाउस कोबाल्ट स्ट्राइक UDRL बनाने में सहायता करना है। परियोजना का लक्ष्य सभी उपयोगी CS मैलिएबल PE एवेज़न फीचर्स का समर्थन करना है। कुछ एवेज़न फीचर्स CS एकीकरण का लाभ उठाते हैं, कुछ पूरी तरह से पुनर्निर्मित किए गए हैं, और कुछ असमर्थित हैं।

इस परियोजना का किसी भी रूप में उपयोग करने से पहले, आपको यह सुनिश्चित करने के लिए उचित रूप से परीक्षण करना चाहिए कि एवेज़न फीचर्स इच्छित रूप से काम कर रहे हैं। C कोड और एग्रेसर स्क्रिप्ट के बीच, विभिन्न ऑपरेटिंग सिस्टम, कंपाइलर और जावा के संस्करणों के साथ संकलन भिन्न परिणाम दे सकता है।

एवेज़न फीचर्स

BokuLoader विशिष्ट एवेज़न फीचर्स

• सिंथेटिक फ्रेम के माध्यम से रिफ्लेक्टिव कॉलस्टैक स्पूफिंग।
• कस्टम ASM/C रिफ्लेक्टिव लोडर कोड
• HellsGate और HalosGate तकनीकों के माध्यम से अप्रत्यक्ष NT सिस्कॉल
  • सभी आवंटन विकल्पों के लिए सभी मेमोरी सुरक्षा परिवर्तन NtProtectVirtualMemory के अप्रत्यक्ष सिस्कॉल के माध्यम से किए जाते हैं।
• कस्टम UDRL एग्रेसर स्क्रिप्ट कार्यान्वयन के साथ obfuscate "true"।
• NOHEADERCOPY
  • लोडर हेडर्स को रॉ बीकन DLL से वर्चुअल बीकन DLL में कॉपी नहीं करेगा। पहले 0x1000 बाइट्स शून्य होंगे।
• प्रतीकों को हल करने के लिए XGetProcAddress
  • Kernel32.GetProcAddress का उपयोग नहीं करता
• DLL के बेस एड्रेस और DLL लोडिंग को हल करने के लिए xLoadLibrary
  • लोड की गई DLL के लिए, TEB->PEB->PEB_LDR_DATA->InMemoryOrderModuleList से DLL बेस एड्रेस प्राप्त करता है।
  • Kernel32.LoadLibraryA का उपयोग नहीं करता
• स्ट्रिंग ऑबफस्केशन के लिए सीज़र सिफर
• 100k UDRL आकार
• आयात DLL नाम और आयात एंट्री नाम स्ट्रिंग्स को वर्चुअल बीकन DLL में स्टॉम्प किया जाता है।

समर्थित मैलिएबल PE एवेज़न फीचर्स

कमांड	विकल्प	समर्थित
allocator	HeapAlloc, MapViewOfFile, VirtualAlloc	BokuLoader कार्यान्वयन के माध्यम से सभी समर्थित
module_x64	string (DLL Name)	BokuLoader कार्यान्वयन के माध्यम से समर्थित। CS कार्यान्वयन के समान DLL स्टॉम्पिंग आवश्यकताएँ लागू होती हैं
obfuscate	true/false	HTTP/S बीकन BokuLoader कार्यान्वयन के माध्यम से समर्थित। SMB/TCP वर्तमान में obfuscate true के लिए समर्थित नहीं है। विवरण इश्यू में। यदि आप ठीक कर सकते हैं तो सहायता स्वीकार है :)
entry_point	RVA as decimal number	BokuLoader कार्यान्वयन के माध्यम से समर्थित
cleanup	true	CS एकीकरण के माध्यम से समर्थित
userwx	true/false	BokuLoader कार्यान्वयन के माध्यम से समर्थित
sleep_mask	(true/false) or (Sleepmask Kit+true)	समर्थित। डिफ़ॉल्ट "sleepmask true" (sleepmask किट के बिना) का उपयोग करते समय "userwx true" सेट करें। RX बीकन.text मेमोरी (src47/Ekko) का समर्थन करने वाले sleepmask किट का उपयोग करते समय "sleepmask true" && "userwx false" सेट करें।
magic_mz_x64	4 char string	CS एकीकरण के माध्यम से समर्थित
magic_pe	2 char string	CS एकीकरण के माध्यम से समर्थित
transform-x64 prepend	escaped hex string	BokuLoader.cna एग्रेसर स्क्रिप्ट संशोधन
transform-x64 strrep	string string	BokuLoader.cna एग्रेसर स्क्रिप्ट संशोधन
stomppe	true/false	असमर्थित। BokuLoader बीकन DLL हेडर्स को कॉपी नहीं करता। वर्चुअल बीकन DLL के पहले 0x1000 बाइट्स 0x00 हैं
checksum	number	प्रायोगिक। BokuLoader.cna एग्रेसर स्क्रिप्ट संशोधन
compile_time	date-time string	प्रायोगिक। BokuLoader.cna एग्रेसर स्क्रिप्ट संशोधन
image_size_x64	decimal value	असमर्थित
name	string	प्रायोगिक। BokuLoader.cna एग्रेसर स्क्रिप्ट संशोधन
rich_header	escaped hex string	प्रायोगिक। BokuLoader.cna एग्रेसर स्क्रिप्ट संशोधन
stringw	string	असमर्थित
string	string	असमर्थित

परीक्षण

• (22/2/23) सभी 4 आवंटक विधियों का परीक्षण threatexpress/malleable-c2/master/jquery-c2.4.7.profile के साथ किया गया

परियोजना की उत्पत्ति

• स्टीफन फ्यूअर के अद्भुत रिफ्लेक्टिव लोडर प्रोजेक्ट पर आधारित:
  • https://github.com/stephenfewer/ReflectiveDLLInjection
• शुरुआत में Sektor7 मैलवेयर डेवलपर इंटरमीडिएट (MDI) कोर्स के Renz0h के रिफ्लेक्टिव DLL वीडियो के माध्यम से काम करते हुए बनाया गया

उपयोग

1. make के साथ BokuLoader ऑब्जेक्ट फ़ाइल को संकलित करें
2. अपने कोबाल्ट स्ट्राइक टीम सर्वर को प्रारंभ करें
3. कोबाल्ट स्ट्राइक के अंदर, BokuLoader.cna एग्रेसर स्क्रिप्ट आयात करें
4. x64 बीकन उत्पन्न करें (Attacks -> Packages -> Windows Executable (S))
5. सुनिश्चित करने के लिए Script Console का उपयोग करें कि BokuLoader बीकन बिल्ड में लागू किया गया था

• x86 विकल्प का समर्थन नहीं करता। x86 bin मूल रिफ्लेक्टिव लोडर ऑब्जेक्ट फ़ाइल है।
• RAW बीकन उत्पन्न करना आउट-ऑफ-द-बॉक्स काम करता है। बीकन लोडर के लिए आर्टिफैक्ट किट का उपयोग करते समय, stagesize वेरिएबल डिफ़ॉल्ट से बड़ा होना चाहिए।
  • अतिरिक्त जानकारी के लिए कोबाल्ट स्ट्राइक उपयोगकर्ता-परिभाषित रिफ्लेक्टिव लोडर दस्तावेज़ीकरण देखें

पहचान मार्गदर्शन

हार्डकोडेड स्ट्रिंग्स

• BokuLoader कुछ सामान्यतः पहचाने जाने वाले स्ट्रिंग्स को नए हार्डकोडेड मानों में बदलता है। इन स्ट्रिंग्स का उपयोग BokuLoader को सिग्नेचर करने के लिए किया जा सकता है:

मूल कोबाल्ट स्ट्राइक स्ट्रिंग	BokuLoader कोबाल्ट स्ट्राइक स्ट्रिंग
ReflectiveLoader	BokuLoader
Microsoft Base Cryptographic Provider v1.0	12367321236742382543232341241261363163151d
(admin)	(tomin)
beacon	bacons

मेमोरी आवंटक

DLL मॉड्यूल स्टॉम्पिंग

• DLL को डिस्क से मैप करने के लिए Kernel32.LoadLibraryExA को कॉल किया जाता है
• Kernel32.LoadLibraryExA का तीसरा तर्क DONT_RESOLVE_DLL_REFERENCES (0x00000001) है
  • सिस्टम DllMain को कॉल नहीं करता
• MDSec यहाँ द्वारा विस्तृत रूप से LDR PEB एंट्री में पतों को हल नहीं करता
• pe-sieve टूल से प्रक्रिया मेमोरी को स्कैन करके पता लगाने योग्य

हीप आवंटन

• यदि sleepmask किट का उपयोग नहीं किया जाता है, तो हीप में निष्पादन योग्य RX या RWX मेमोरी मौजूद होगी।

मैप्ड आवंटक

• वर्चुअल बीकन DLL के लिए मेमोरी आवंटित करने के लिए Kernel32.CreateFileMappingA और Kernel32.MapViewOfFile को कॉल किया जाता है।