CobaltBus

Cobalt Strike का Azure Servicebus के साथ बाहरी C2 एकीकरण, Azure Servicebus के माध्यम से C2 ट्रैफिक

सेटअप

1. एक Azure Service Bus बनाएं
2. एक साझा एक्सेस नीति (कनेक्शन स्ट्रिंग) बनाएं जो केवल भेज और सुन सके
3. Beacon C# प्रोजेक्ट्स में static connectionString वेरिएबल को संपादित करें ताकि वह चरण 2 में बनाई गई साझा एक्सेस नीति के "Primary Connection String" मान से मेल खाए।
4. CobaltBus प्रोजेक्ट के लिए भी यही वेरिएबल अपडेट करने की आवश्यकता है, लेकिन "RootManageSharedAccessKey" साझा एक्सेस नीति के "Primary Connection String" का उपयोग किया जाना चाहिए। ("manage" अनुमति आवश्यक है)
5. Cobalt सेटअप करें और पोर्ट 4444, 127.0.0.1 पर एक बाहरी C2 लिसनर शुरू करें (C# प्रोजेक्ट में ExternalC2Port और ExternalC2Ip वेरिएबल को संपादित करके बदला जा सकता है)

डेमो वीडियो

यह कैसे काम करता है?

CobaltBus DotNetCore बाइनरी जो CobaltStrike के ExternalC2 के साथ एकीकृत होती है, एकाधिक बीकन्स पर नज़र रखने के लिए एक स्थानीय SqliteDB बनाएगी। CobaltBus में आने वाले संदेश कैप्चर किए जाएंगे और डेटाबेस में लिखे जाएंगे। "CobaltBus.db" और "CobaltBus-log.db" नाम के डेटाबेस उस निर्देशिका में बनाए जाएंगे जहां CobaltBus.dll चल रही है। एक बार जब कोई Beacon बाइनरी चलती है, तो वह baseQueueName कतार में "INITIALIZE" संदेश भेजेगी, जिसमें एक यादृच्छिक रूप से उत्पन्न BeaconId और Pipename होगा। CobaltBus हैंडलर तब इसे कैप्चर करेगा, भेजे गए BeaconId के आधार पर दो नई कतारें बनाएगा और उनमें जाएगा, CobaltStrike से स्टेजर शेलकोड का अनुरोध करेगा, और उसे नई कतार में "INJECT" संदेश के रूप में वापस भेजेगा। यहां से, Beacon प्रोजेक्ट कैप्चर किए गए शेलकोड को मेमोरी में इंजेक्ट करता है और उत्पन्न पाइप नाम के माध्यम से CobaltStrike बीकन के साथ कनेक्शन स्थापित करता है। जब CobaltBus से कोई कमांड जारी की जाती है, तो उसे बीकन की संबंधित कतार के नीचे और फिर बीकन पाइप नाम में धकेल दिया जाता है।