Cohab_Processes

यह Aggressor स्क्रिप्ट आंतरिक रेड टीमों को उनके वातावरण में चल रही संदिग्ध या बाहरी प्रक्रियाओं ("सह-निवास") की पहचान करने में मदद करने के लिए बनाई गई है।

रेड टीमें "ज्ञात" प्रक्रियाओं की एक सूची तैयार कर सकती हैं (स्वतंत्र रूप से या ब्लू फोर्स के सहयोग से) और इसे Aggressor स्क्रिप्ट को फीड कर सकती हैं। प्रक्रियाओं की इस सूची में वे प्रक्रियाएँ शामिल हो सकती हैं जो "हमारे नेटवर्क में कम से कम x बार देखी गईं" ताकि एक आधार रेखा स्थापित की जा सके। एक बार स्क्रिप्ट को CobaltStrike में लोड करने के बाद, निम्नलिखित कमांड के लिए beacon आउटपुट बदल/रंग कोडित हो जाएगा:

1. shell tasklist
2. ps
3. TrustedSec का tasklist BOF (इस BOF का उपयोग करना आवश्यक नहीं है, लेकिन अत्यधिक अनुशंसित है)

उपरोक्त कमांड से आउटपुट के रूप में लौटाई गई कोई भी प्रक्रिया जो "ज्ञात" प्रक्रियाओं की सूची में नहीं मिलती है, आगे की जांच/गहन अध्ययन के लिए लाल रंग में हाइलाइट की जाएगी।

shell tasklist:

ps:

TrustedSec tasklist BOF:

सेटअप

ज्ञात प्रक्रियाओं की सूची एक टेक्स्ट फ़ाइल में होनी चाहिए, प्रति पंक्ति एक प्रक्रिया। Cohab_Processes.cna में पंक्ति 3 को संपादित करें और अपनी "ज्ञात" प्रक्रियाओं की सूची निर्दिष्ट करें। .cna स्क्रिप्ट को CobaltStrike में लोड करें और आनंद लें।

मैंने 'knownprocesses.txt' को एक उदाहरण के रूप में शामिल किया है ताकि उपयोगकर्ता अपने वातावरण में "ज्ञात" प्रक्रियाओं की सूची बनाने के प्रयास से पहले इस स्क्रिप्ट के व्यवहार को देख सकें।