Considerazioni sull'Uso dell'UDRL

Il caricatore riflessivo integrato di Cobalt Strike è robusto e gestisce tutte le funzionalità di evasione PE Malleable che Cobalt Strike offre. Il principale svantaggio nell'utilizzare un UDRL personalizzato è che le funzionalità di evasione PE Malleable potrebbero essere supportate o meno così com'è.

L'obiettivo del progetto pubblico BokuLoader è assistere i red team nella creazione del proprio UDRL interno per Cobalt Strike. Il progetto mira a supportare tutte le funzionalità di evasione PE Malleable di CS che ne valgano la pena. Alcune funzionalità di evasione sfruttano l'integrazione con CS, altre sono state ricreate completamente, e alcune non sono supportate.

Prima di utilizzare questo progetto, in qualsiasi forma, dovresti testare adeguatamente che le funzionalità di evasione funzionino come previsto. Tra il codice C e lo script Aggressor, la compilazione con diverse versioni di sistemi operativi, compilatori e Java potrebbe dare risultati diversi.

Funzionalità di Evasione

Funzionalità di Evasione Specifiche di BokuLoader

• Spoofing dello stack di chiamate riflessivo tramite frame sintetici.
• Codice personalizzato del caricatore riflessivo in ASM/C
• Chiamate di sistema NT indirette tramite le tecniche HellsGate & HalosGate
  • Tutte le modifiche alla protezione della memoria per tutte le opzioni di allocazione vengono eseguite tramite chiamata di sistema indiretta a NtProtectVirtualMemory
• obfuscate "true" con implementazione personalizzata dello script Aggressor per UDRL.
• NOHEADERCOPY
  • Il caricatore non copierà gli header della DLL beacon grezza nella DLL beacon virtuale. I primi 0x1000 byte saranno nulli.
• XGetProcAddress per la risoluzione dei simboli
  • Non utilizza Kernel32.GetProcAddress
• xLoadLibrary per la risoluzione dell'indirizzo base della DLL e il caricamento della DLL
  • Per le DLL caricate, ottiene l'indirizzo base della DLL da TEB->PEB->PEB_LDR_DATA->InMemoryOrderModuleList
  • Non utilizza Kernel32.LoadLibraryA
• Cifrario di Cesare per l'offuscamento delle stringhe
• Dimensione UDRL 100k
• I nomi delle DLL importate e le stringhe dei nomi delle voci di importazione vengono sovrascritti nella DLL beacon virtuale.

Funzionalità di Evasione PE Malleable Supportate

Test

• (22/02/23) Tutti e 4 i metodi di allocazione testati con threatexpress/malleable-c2/master/jquery-c2.4.7.profile

Origini del Progetto

• Basato sull'incredibile progetto Reflective Loader di Stephen Fewer:
  • https://github.com/stephenfewer/ReflectiveDLLInjection
• Creato inizialmente mentre si studiavano i video Reflective DLL di Renz0h del Corso Sektor7 Malware Developer Intermediate (MDI)

Utilizzo

1. Compila il file oggetto BokuLoader con make
2. Avvia il tuo Cobalt Strike Team Server
3. All'interno di Cobalt Strike, importa lo script Aggressor BokuLoader.cna
4. Genera il beacon x64 (Attacchi -> Pacchetti -> Eseguibile Windows (S))
5. Usa la Console degli Script per assicurarti che BokuLoader sia stato implementato nella build del beacon

• Non supporta l'opzione x86. Il binario x86 è il file oggetto originale del Reflective Loader.
• Generare beacon RAW funziona subito. Quando si utilizza l'Artifact Kit per il caricatore del beacon, la variabile stagesize deve essere maggiore del predefinito.
  • Vedi la documentazione del Caricatore Riflessivo Definibile dall'Utente di Cobalt Strike per ulteriori informazioni

Guida al Rilevamento

Stringhe Codificate

• BokuLoader modifica alcune stringhe comunemente rilevate in nuovi valori codificati. Queste stringhe possono essere utilizzate per creare firme per BokuLoader:

Allocatori di Memoria

Sovrascrittura del Modulo DLL

• Viene chiamata Kernel32.LoadLibraryExA per mappare la DLL dal disco
• Il 3° argomento di Kernel32.LoadLibraryExA è DONT_RESOLVE_DLL_REFERENCES (0x00000001)
  • il sistema non chiama DllMain
• Non risolve gli indirizzi nella voce LDR del PEB come descritto da MDSec qui
• Rilevabile scansione della memoria del processo con lo strumento pe-sieve

Allocazione Heap

• Memoria eseguibile RX o RWX esisterà nell'heap se non viene utilizzato il kit sleepmask.

Allocatore Mappato

• Vengono chiamate Kernel32.CreateFileMappingA e Kernel32.MapViewOfFile per allocare memoria per la DLL beacon virtuale.

Rilevamento Sleepmask

• Se viene utilizzato il kit sleepmask, esistono metodi di rilevamento per questa allocazione di memoria indipendente come descritto da MDSec qui

Chiamate di Sistema Indirette

• BokuLoader chiama le seguenti systemcall NT per configurare la memoria del beacon eseguibile caricato: NtAllocateVirtualMemory, NtProtectVirtualMemory
• Vengono chiamate indirettamente dalla memoria eseguibile di BokuLoader.
• Impostare hook in userland in ntdll.dll non rileverà queste systemcall.
• Potrebbe essere possibile registrare callback del kernel utilizzando un driver del kernel per monitorare le systemcall di cui sopra e rilevarne l'uso.
• BokuLoader stesso conterrà le istruzioni assembly mov eax, r11d; mov r11, r10; mov r10, rcx; jmp r11 nella sua memoria eseguibile.

Header della DLL Beacon Virtuale

• I primi 0x1000 byte della DLL beacon virtuale sono zeri.

Codice Sorgente Disponibile

• Il codice sorgente di BokuLoader è fornito all'interno del repository e può essere utilizzato per creare firme di memoria.
• Se hai ulteriori guide per il rilevamento, sentiti libero di contribuire inviando una pull request.

Crediti / Riferimenti

Spoofing dello Stack di Chiamate Riflessivo

• LoudSunRun: Spoofer di frame sintetici dello stack di chiamate con syscall indirette
• SilentMoonwalk: Implementazione PoC di uno spoofing dello stack di chiamate completamente dinamico
• Vulcan Raven: Implementazione PoC per lo spoofing di stack di chiamate arbitrari durante le syscall
• CallStackMasker: Implementazione PoC per mascherare dinamicamente gli stack di chiamate con timer
• ThreadStackSpoofer: PoC di spoofing dello stack di thread
• Behind the Mask: Spoofing degli Stack di Chiamate Dinamicamente con Timer

Reflective Loader

• https://github.com/stephenfewer/ReflectiveDLLInjection
• Guarda questi video se sei interessato al Reflective DLL:
  • Ballando con la IAT - Corso Sektor 7 MDI
  • Attraversando la EAT - Corso Sektor 7 MDI
  • Iniezione Riflessiva Spiegata - Corso Sektor 7 MDI
  • Revisione del Codice Sorgente del ReflectiveLoader - Corso Sektor 7 MDI
• TitanLdr
• AceLdr
• KaynLdr

HalosGate SysCaller

• Reenz0h da @SEKTOR7net
  • Guarda i fantastici corsi e blog di Reenz0h!
  • Migliori corsi sullo sviluppo di malware che abbia mai seguito.
  • Creatore della tecnica halos gate. Il suo lavoro è stato inizialmente la motivazione per questo lavoro.
  • Blog HalosGate di Sektor7

HellsGate Syscaller

• @smelly__vx & @am0nsec ( Creatori/Pubblicatori della tecnica Hells Gate )
  • Non avrei potuto realizzare la mia implementazione di HellsGate senza di loro :)
  • Lavoro fantastico su questo metodo, mi sono davvero divertito a studiarlo. Grazie!
  • https://github.com/am0nsec/HellsGate
  • Link al documento Hell's Gate: https://vxug.fakedoma.in/papers/VXUG/Exclusive/HellsGate.pdf

Scripting Aggressor

• sinusoid @the_bit_diddler : returnIntegerFromArray

Caricatore Riflessivo Definibile dall'Utente di Cobalt Strike

• https://www.cobaltstrike.com/help-user-defined-reflective-loader

Ottima Risorsa per Imparare l'ASM Intel

• Pentester Academy - SLAE64

Bypass ETW e AMSI

• @anthemtotheego inline-ExecuteAssembly
• @mariuszbit - per l'idea fantastica di implementare i bypass nel caricatore riflessivo!
• @XPN Nascondere il tuo .NET – ETW
• ajpc500/BOFs
• Offensive Security OSEP

Implementare ASM in Codice C con GCC

• https://outflank.nl/blog/2020/12/26/direct-syscalls-in-beacon-object-files/
• https://www.cs.uaf.edu/2011/fall/cs301/lecture/10_12_asm_c.html
• http://gcc.gnu.org/onlinedocs/gcc-4.0.2/gcc/Extended-Asm.html#Extended-Asm

Profili C2 di Cobalt Strike

• L'epico progetto SourcePoint di Tylous
• threatexpress/malleable-c2/jquery-c2.4.7.profile