cobaltstrike-sleepmask-yara

बस एक git रिपॉजिटरी है sleepmask डिटेक्शन नियम के लिए जो मुझे यहाँ मिला: https://codex-7.gitbook.io/codexs-terminal-window/blue-team/detecting-cobalt-strike/sleep-mask-kit-iocs

tl;dr

tl;dr यह है कि ये बाइट्स sleep mask kit अन-ऑबफस्केटेड .text सेक्शन का ही हिस्सा हैं और स्लीप के दौरान ऑबफस्केटेड नहीं होते। बिल्ट-इन स्लीपमास्किंग तकनीक के साथ इस क्षेत्र को एन्क्रिप्ट करना संभव नहीं है क्योंकि बीकन को जगाने के लिए इसे निष्पादन योग्य बने रहना पड़ता है। Timers और NtContinue APCs का उपयोग करने जैसी नई तकनीकें इस समस्या से प्रभावित नहीं होतीं। MDSec ब्लॉगपोस्ट के अनुसार, यह सिग्नेचर केवल "userwx" सेटिंग अक्षम होने पर ही काम करता था: https://www.mdsec.co.uk/2022/07/part-2-how-i-met-your-beacon-cobalt-strike/

CobaltStrike 4.6.1 पर विकसित और परीक्षण किया गया