C2concealer

C2concealer एक कमांड लाइन उपकरण है जो Cobalt Strike में उपयोग के लिए यादृच्छिक C2 मैलेबल प्रोफाइल उत्पन्न करता है।

स्थापना

git clone https://github.com/RedSiege/C2concealer.git
cd C2concealer
python3 -m venv .venv
source .venv/bin/activate
pip3 install -e .

Docker स्थापना

Docker निर्देश देखें

उदाहरण उपयोग

Usage:
	$ C2concealer --hostname google.com --variant 3

Flags:
	
	(optional)
	--hostname 
		The hostname used in HTTP client and server side settings. Default is None.
	--variant 
		An integer defining the number of HTTP client/server variants to generate. 
		Recommend between 1 and 5. Max 10.

कंसोल आउटपुट का उदाहरण

root@kali:~# C2concealer --variant 1 --hostname google.com
[i] Searching for the c2lint tool on your system (part of Cobalt Strike). Might take 10-20 seconds.
[i] Found c2lint in the /opt/cobaltstrike/c2lint directory.

Choose an SSL option:
1. Self-signed SSL cert (just input a few details)
2. LetsEncrypt SSL cert (requies a temporary A record for the relevant domain to be pointed to this machine)
3. Existing keystore
4. No SSL

[?] Option [1/2/3/4]:

सुझाव: हमेशा SSL प्रमाणपत्र का उपयोग करें। अधिमानतः LetsEncrypt या इसी प्रकार का प्रमाणपत्र। सुझाव: HTTP वेरिएंट आपको विभिन्न बीकन्स पर HTTP ट्रैफ़िक के लिए अलग-अलग IOC चुनने की अनुमति देते हैं। कम से कम 1 का मान अनुशंसित है।

यह कैसे काम करता है

हमने Cobalt Strike दस्तावेज़ीकरण का गहन अध्ययन किया और प्रत्येक प्रोफ़ाइल गुण के लिए समझदार मानों की श्रेणियाँ परिभाषित कीं। कभी-कभी वह डेटा एक निश्चित सीमा के भीतर एक यादृच्छिक पूर्णांक जितना सरल होता है और अन्य बार हमें Python dictionary से एक यादृच्छिक मान चुनने की आवश्यकता होती है। किसी भी तरह, हमने उपकरण निर्माण की शुरुआत उस डेटा को परिभाषित करके की जो एक मान्य प्रोफ़ाइल बनाएगा।

फिर हमने प्रत्येक मैलेबल प्रोफ़ाइल अनुभाग (या ब्लॉक) को एक अलग .py फ़ाइल में विभाजित किया, जिसमें प्रत्येक गुण के लिए यादृच्छिक उपयुक्त मान बनाने और फिर उस प्रोफ़ाइल ब्लॉक के लिए एक स्वरूपित स्ट्रिंग आउटपुट करने का तर्क होता है। हम सभी प्रोफ़ाइल ब्लॉकों को जोड़ते हैं, कुछ त्वरित संगति जांच चलाते हैं और फिर प्रोफ़ाइल को Cobalt Strike लिंटर (c2lint) के माध्यम से चलाते हैं। परिणाम एक प्रोफ़ाइल है जो चाहिए कि आपके अभियानों के लिए काम करे। हम हमेशा किसी अभियान को चलाने से पहले प्रोफ़ाइल का परीक्षण (प्रोसेस इंजेक्शन और स्पॉनिंग सहित) करने की सलाह देते हैं।

यदि आप कोड में देख रहे हैं, तो हम इन दो फ़ाइलों से शुरुआत करने की सलाह देते हैं: /C2concealer/__main__.py और /C2concealer/profile.py। टिप्पणियों की समीक्षा करने के बाद, फ़ोल्डर में व्यक्तिगत प्रोफ़ाइल ब्लॉक जनरेटर देखें: /C2concealer/components।

उपकरण को अनुकूलित करना

यह महत्वपूर्ण है। यह एक ओपन सोर्स उपकरण है। विक्रेता इसके द्वारा उत्पन्न प्रोफ़ाइलों के लिए आसानी से हस्ताक्षर लिख सकते हैं। जबकि उपकरण चलाना Cobalt Strike मैलेबल प्रोफ़ाइल बनाने के लिए एक उत्कृष्ट शुरुआत प्रदान करता है, हम उत्पन्न प्रोफ़ाइलों को भरने के लिए उपयोग किए जाने वाले डेटा को अनुकूलित करने के लिए निम्नलिखित क्षेत्रों में गहराई से जाने की सलाह देते हैं:

/C2concealer/data/

• dns.py (dns उपडोमेन को अनुकूलित करें)
• file_type_prepend.py (अनुकूलित करें कि http-get-server प्रतिक्रियाएँ कैसी दिखती हैं... अर्थात् c2 नियंत्रण निर्देश)
• params.py (दो शब्दकोश जिनमें सामान्य पैरामीटर नाम और एक सामान्य शब्द सूची है)
• post_ex.py (spawn_to प्रक्रिया सूची... निश्चित रूप से इसे बदलें)
• reg_headers.py (विशिष्ट http हेडर जैसे user-agent और server)
• smb.py (smb पाइप नाम जब संचार smb पर होता है)
• ssh.py (ssh पाइप और बैनर नाम जब SSH बीकन का उपयोग करते हैं)
• stage.py (स्टेजर से संबंधित IOCs बदलने के लिए डेटा)
• transform.py (पेलोड डेटा रूपांतरण... इसे बदलने की आवश्यकता नहीं है)
• urls.py (फ़ाइल प्रकार और url पथ घटक जो पूरे उपकरण में URI बनाने के लिए उपयोग किए जाते हैं... निश्चित रूप से इसे बदलें)

इसके अलावा, आप प्रोफ़ाइल निर्माण प्रक्रिया में विभिन्न गुणों को अनुकूलित कर सकते हैं। उदाहरण के तौर पर, फ़ाइल: /C2concealer/components/stageblock.py में, आप उस श्रेणी को बदल सकते हैं जिससे PE छवि आकार मान लिया जाता है (लगभग पंक्तियाँ 73-74)। कृपया कंपोनेंट्स निर्देशिका में सभी विभिन्न फ़ाइलों को देखें।

यदि आप यहाँ तक आ गए हैं, तो हम जानते हैं कि आप इस उपकरण का बहुत उपयोग करेंगे। जिस तरह से हम इस उपकरण को देखने की सलाह देते हैं वह यह है कि हमने इन प्रोफ़ाइलों को स्वचालित रूप से उत्पन्न करने के लिए कंकाल कोड बनाया है। अब यह आप पर निर्भर है कि आप अपने अभियानों के लिए प्रत्येक गुण के लिए क्या मान समझ में आते हैं और डेटा स्रोतों को अपडेट करें।

अपनी प्रोफ़ाइल को और अनुकूलित करना

जबकि हमने मैलेबल C2 प्रोफ़ाइल भाषा के लिए बहुत सारे संभावित विकल्पों को कवर किया है, ऐसे कई विकल्प हैं जिन्हें हम सेट नहीं करते हैं। हम आपको दृढ़ता से सलाह देते हैं कि आप Malleable Command and Control दस्तावेज़ीकरण से परामर्श करें और अपनी प्रोफ़ाइल को संशोधित करें।

निम्नलिखित विकल्प सेट नहीं हैं, या C2concealer द्वारा स्थिर रूप से सेट किए गए हैं और आपको उन्हें बदलने पर विचार करना चाहिए।

http-config ब्लॉक

stage ब्लॉक

process-inject ब्लॉक

post-ex ब्लॉक

dns-beacon ब्लॉक

डेटा रूपांतरण (सभी ट्रांसफ़ॉर्म संदर्भ)

शाउटआउट्स

Raphael Mudge को बड़ा शाउटआउट, जिन्होंने मैलेबल प्रोफ़ाइल सुविधा सेट और इसके बारे में सीखने के लिए दस्तावेज़ीकरण में लगातार सुधार किया। साथ ही, @killswitch-GUI को उनके स्क्रिप्ट के लिए बहुत-बहुत धन्यवाद जो CS टीम सर्वर के लिए LetsEncrypt प्रमाणपत्र निर्माण को स्वचालित करता है। अंत में, दो ब्लॉग पोस्ट जिन्होंने जीवन को बहुत आसान बना दिया: @bluescreenofjeff की पोस्ट (https://bluescreenofjeff.com/2017-01-24-how-to-write-malleable-c2-profiles-for-cobalt-strike/) और Joe Vest की पोस्ट (https://posts.specterops.io/a-deep-dive-into-cobalt-strike-malleable-c2-6660e33b0e0b)।

संस्करण परिवर्तन सूची

Version 1.0

• FortyNorth Security के आंतरिक उपकरण का सार्वजनिक संस्करण।
• CS 4.0 (विशेष रूप से कई HTTP वेरिएंट) के लिए समर्थन जोड़ा गया।
• README.md अपडेट किया गया।

Version 1.1

• CS 4.12 द्वारा समर्थित प्रोफ़ाइल विकल्पों को शामिल करने के लिए अपडेट किया गया।
• ब्राउज़र UA स्ट्रिंग अपडेट की गईं।
• आधुनिक सामान्य रूप से देखे जाने वाले कुकीज़ के अनुसार कुकी स्ट्रिंग अपडेट की गईं।
• SSH बैनर और SSH पाइपनाम विकल्प जोड़े गए।
• Docker स्थापना मार्गदर्शन अपडेट किया गया।
• Let's Encrypt समर्थन ठीक किया गया।