OneDrive UDC2

एक Cobalt Strike User-Defined C2 चैनल जो OneDrive को ट्रांसपोर्ट लेयर के रूप में उपयोग करता है।

आपको क्या चाहिए

• एक Microsoft Entra ID tenant जिसमें एक उपयोगकर्ता हो जिसके पास OneDrive for Business हो।
• Files.ReadWrite.All application permission वाला एक app registration।

सेटअप

1. एक application रजिस्टर करें

Azure Portal में, App registrations पर जाएँ और एक नया app बनाएँ:

• Account type: Single tenant.
• Redirect URI: खाली छोड़ दें।

overview पेज से tenant ID और client ID नोट कर लें।

2. Graph permission जोड़ें

API permissions के अंतर्गत:

1. Microsoft Graph जोड़ें, फिर Application permissions, फिर Files.ReadWrite.All.
2. Grant admin consent पर क्लिक करें।

3. एक client secret बनाएँ

Certificates & secrets के अंतर्गत, एक नया secret बनाएँ और उसकी value कॉपी करें।

4. OneDrive फ़ोल्डर बनाएँ

उपयोगकर्ता के OneDrive में, दो फ़ोल्डर बनाएँ, एक inbox के लिए और एक outbox के लिए (जैसे c2inbox और c2outbox)।

5. drive और folder IDs प्राप्त करें

Graph Explorer खोलें, उस उपयोगकर्ता के रूप में साइन इन करें, और चलाएँ:

GET https://graph.microsoft.com/v1.0/me/drive/root/children

प्रत्येक फ़ोल्डर की id और JSON response में किसी भी entry से driveId प्राप्त करें।

बिल्ड

cp server/config.json.example server/config.json

server/config.json भरें:

फिर client बिल्ड करें:

make

रन

relay शुरू करें (screen या tmux का उपयोग करें ताकि आपका terminal डिस्कनेक्ट होने पर भी यह चलता रहे):

python3 server/relay.py --config server/config.json --ts-addr <teamserver-ip> --ts-port <udc2-port>

Cobalt Strike में, उसी port पर एक UDC2 listener बनाएँ और client/bof.o लोड करें।

Relay विकल्प

State, spool और lock file

relay आपके config के बगल में कुछ फ़ाइलें बनाता है ताकि restarts के बीच चीज़ों का हिसाब रखा जा सके:

• State file (config.json.state.json) - ट्रैक करता है कि कौन सी inbox फ़ाइलें process हो चुकी हैं, pending uploads, और beacon session info। --state के साथ एक custom path सेट करें।
• Spool directory (config.json.state.json.spool/) - response data रखता है जो अभी तक OneDrive पर upload नहीं हुआ है। यदि relay upload के बीच में crash हो जाता है, तो spool data को सुरक्षित रखता है ताकि अगली बार शुरू होने पर इसे retry किया जा सके।
• Lock file (config.json.state.json.lock) - दो relay instances को एक ही state के साथ चलने से रोकता है। यदि आपको Another relay holds the lock दिखता है और कोई अन्य relay नहीं चल रहा है, तो lock किसी crash से stale है।

relay state रीसेट करना

यदि relay की local state corrupt हो जाती है या कोई stale lock startup को रोक रहा है, तो --clean का उपयोग करके state file और spool directory को मिटाएँ ताकि relay नए सिरे से शुरू हो:

python3 server/relay.py --config server/config.json --clean

lock file रखी जाती है। relay तब तक clean नहीं करेगा जब तक कोई अन्य instance चल रहा हो। अगली सामान्य शुरुआत पर यह फिर से initialize होता है और 30 मिनट से पुरानी किसी भी inbox फ़ाइल को छोड़ देता है।

आप state file और spool directory को स्वयं हटाकर भी मैन्युअल रूप से रीसेट कर सकते हैं। यदि lock file stale है (कोई relay नहीं चल रहा), तो उसे भी हटा दें।

डेमो

संदर्भ

• Cobalt Strike UDC2 docs
• Cobalt Strike ICMP UDC2
• WKL Slack UDC2