BOF_RunPE

BOF RunPE Cobalt Strike के लिए एक Beacon Object File है जो PE फ़ाइलों को beacon प्रक्रिया के भीतर पूरी तरह से मेमोरी में निष्पादित करता है। पारंपरिक fork&run के विपरीत, कोई चाइल्ड प्रोसेस नहीं बनाई जाती, कोई कंसोल निर्मित नहीं होता, और कोई पाइप उपयोग नहीं किया जाता - सभी आउटपुट IAT हुकिंग के माध्यम से कैप्चर होता है और beacon कंसोल पर पुनर्निर्देशित किया जाता है।

आर्किटेक्चर: केवल x64

अवलोकन

┌──────────────────────────────────────────────────────────────┐
│                   Cobalt Strike Beacon                       │
│                    (Current Process)                         │
└────────────────────────┬─────────────────────────────────────┘
                         │
                         │  beacon_inline_execute()
                         │
                         ▼
┌──────────────────────────────────────────────────────────────┐
│                    BOF RunPE                                 │
│  ┌────────────────────────────────────────────────────────┐  │
│  │  VxTable + Draugr Initialization                       │  │
│  │  (Syscall Resolution + Stack Spoofing)                 │  │
│  └──────────────────────┬─────────────────────────────────┘  │
│                         │                                    │
│  ┌──────────────────────▼─────────────────────────────────┐  │
│  │  PE Mapping                                            │  │
│  │  - Section Copy    - IAT Patching (with hooks)         │  │
│  │  - Relocations     - Memory Protection                 │  │
│  └──────────────────────┬─────────────────────────────────┘  │
│                         │                                    │
│  ┌──────────────────────▼─────────────────────────────────┐  │
│  │  Thread Execution                                      │  │
│  │  - Spoofed Start Address                               │  │
│  │  - RIP Hijacking to Entry Point                        │  │
│  │  - Output Redirection via Hooks                        │  │
│  └────────────────────────────────────────────────────────┘  │
└──────────────────────────────────────────────────────────────┘

मुख्य विशेषताएं

• कोई प्रोसेस निर्माण नहीं: PE beacon प्रक्रिया के भीतर चलता है
• कोई कंसोल/पाइप नहीं: आउटपुट printf/WriteConsole हुक के माध्यम से कैप्चर किया जाता है
• एकाधिक आवंटन विधियाँ: Heap, VirtualAlloc, Module Stomping
• प्रॉक्सी लोडिंग: Timer Queue, RegisterWait, या सीधे कॉल
• Ntdll अनहुकिंग: डिस्क से वैकल्पिक ताज़ा प्रति
• RWX : वैकल्पिक रूप से RWX में मेमोरी आवंटित करें
• थ्रेड स्टार्ट स्पूफिंग: RIP अपहरण के साथ वैध प्रारंभ पता

कॉन्फ़िगरेशन विकल्प

BOF का व्यवहार Additionals postex -> RunPe Config में संपादित किया जा सकता है

प्रॉक्सी विधियाँ

आवंटन विधियाँ

सामान्य विकल्प

थ्रेड स्पूफिंग

आउटपुट कैप्चर

सभी PE आउटपुट IAT हुक के माध्यम से beacon कंसोल पर पुनर्निर्देशित किया जाता है। कोई कंसोल विंडो या नामित पाइप निर्मित नहीं किया जाता।

एवेज़न तकनीकें

डिटेक्शन वेक्टर

कर्नेल टेलीमेट्री (ETW-TI)

NtGetContextThread / NtSetContextThread:

• सस्पेंडेड थ्रेड्स पर थ्रेड कॉन्टेक्स्ट हेरफेर फिर उसे रिज़्यूम करना

मेमोरी ऑपरेशन:

• NtAllocateMemory आवंटन, RWX में हो सकता है (कॉन्फ़िग पर निर्भर)
• NtProtectVirtualMemory संक्रमण (RW → RX)
• हीप क्षेत्रों में निष्पादन योग्य मेमोरी संदिग्ध है (कॉन्फ़िग पर निर्भर)
• मॉड्यूल स्टॉम्पिंग सेक्शन हैश बेमेल के माध्यम से पता लगाने योग्य है (कॉन्फ़िग पर निर्भर)

व्यवहारिक संकेतक

• सस्पेंडेड थ्रेड बनाया गया, कॉन्टेक्स्ट लिया गया फिर RIP का मान बदला गया
• हीप मेमोरी निष्पादन योग्य के रूप में चिह्नित (यदि मेमोरी आवंटक हीप है)
• DONT_RESOLVE_DLL_REFERENCES के साथ DLL लोड किया गया (यदि मेमोरी आवंटक मॉड्यूल स्टॉम्पिंग है)
• Ntdll .text सेक्शन संशोधित (यदि अनहुकिंग सक्षम है)

उपयोग

स्क्रिप्ट लोड करना

Cobalt Strike → Script Manager → Load → BOF_RunPe.cna

Aggressor कमांड

beacon> runpe /path/to/binary.exe --arg1 value1

beacon> help runpe

संकलन

GCC 13 (mingw-w64) की आवश्यकता है। दिए गए Dockerfile का उपयोग करें:

sudo docker build -t ubuntu-gcc-13 .
sudo docker run --rm -it -v "$PWD":/work -w /work ubuntu-gcc-13:latest make

आउटपुट: Bin/runpe.o

सीमाएँ

क्रेडिट / विकास हेतु उपयोग किए गए संसाधन

रेपो/ब्लॉगपोस्ट

• https://github.com/susMdT/LoudSunRun
• https://github.com/Octoberfest7/Inline-Execute-PE
• https://www.coresecurity.com/core-labs/articles/running-pes-inline-without-console
• https://0xdarkvortex.dev/proxying-dll-loads-for-hiding-etwti-stack-tracing/

पुस्तकें

• Windows Native API Programming द्वारा Pavel Yosifovich
• Windows Internals, Part 1 द्वारा Pavel Yosifovich
• Windows Internals, Part 2 द्वारा Andrea Allievi