Astral_Projection

Astral Projection - UDRL

Astral Projection एक Cobalt Strike UDRL (User-Defined Reflective Loader) है, जो उन्नत मॉड्यूल स्टॉम्पिंग करता है।

UDRL LoadLibraryExW का उपयोग करके एक मॉड्यूल लोड करता है, फिर VEH सेट करके इसके आंतरिक भागों में हेरफेर करता है ताकि रणनीतिक कॉल को इंटरसेप्ट किया जा सके, जो इसे बलि के DLL के सेक्शन हैंडल को चुराने और बाद में स्लीप मास्क में उपयोग के लिए इसके एक्सेस अधिकारों को अपग्रेड करने की अनुमति देता है। स्लीप के दौरान यह PEB प्रविष्टियों को बरकरार रखते हुए मॉड्यूल को अनमैप करता है, फिर सोते समय किसी भी IOC से बचने के लिए एक ताजा मॉड्यूल को पुनः मैप करता है।

यह प्रोजेक्ट Crystal Palace के साथ बनाया गया है। कुछ कोड Crystal-Kit प्रोजेक्ट से अपनाया गया है।

तकनीकों के विस्तृत विवरण वाला एक तकनीकी ब्लॉग पोस्ट यहाँ पाया जा सकता है।

प्रोफाइल

• Malleable C2 में स्लीपमास्क और स्टेज ओबफस्केशन को अक्षम करें।

stage {
    set sleep_mask "false";
    set cleanup "true";
    transform-obfuscate { }
}

post-ex {
    set cleanup "true";
    set smartinject "true";
}

• crystalpalace.jar को अपने Cobalt Strike क्लाइंट डायरेक्टरी में कॉपी करें।
• Astral_Projection.cna लोड करें।