spawn

SPAWN - BOF per Cobalt Strike

BOF per Cobalt Strike che genera un processo sacrificale, vi inietta shellcode ed esegue il payload. Realizzato per eludere gli hook EDR/UserLand generando un processo sacrificale con Arbitrary Code Guard (ACG), BlockDll e PPID spoofing.

• A causa di ACG, non supporta shellcode che dipende da queste funzionalità:
  • Commutazione dei permessi di memoria tra RW/RX.
  • Memoria RWX
• Per iniettare shellcode in un processo generato che dipende dalle funzionalità sopra indicate, consulta il progetto Hollow BOF
• Per una fantastica spiegazione su ACG, vedi il blog di Adam Chestner qui sotto.

Nuove Funzionalità (08/01/2021)

• Genera processo sacrificale con Arbitrary Code Guard (ACG) per impedire alle soluzioni EDR di hookare le DLL del processo sacrificale.
  • Vedi il blog di Adam Chester "Protecting Your Malware" per i dettagli completi. Questa parte del BOF deriva dal suo lavoro.
• Inietta ed esegui shellcode.

Popin' Calc da Processo Protetto ACG

beacon> spawn notepad.exe 6248 /Users/bobby.cooke/git/boku7/SPAWN/popCalc.bin
[*] SPAWN (Bobby Cooke//SpiderLabs|@0xBoku|github.com/boku7)
[+] Opened handle 0x534 to process 6248(PID)
[+] Spawned process: notepad.exe | PID: 8404 | PPID: 6248
[+] Allocated RE memory in remote process 8404 (PID) at: 0x00000177A72C0000
[+] Wrote 280 bytes to memory in remote process 8404 (PID) at 0x00000177A72C0000
[+] APC queued for main thread of 8404 (PID) to shellcode address 0x00000177A72C0000

Nuove Funzionalità (07/19/2021)

• Interfaccia script CNA Agressor

beacon> help
    spawn                     Spawn a process with a spoofed PPID and blockDll
beacon> help spawn
Synopsis: spawn /path/to/exe PPID
beacon> ps
8264  5536  OneDrive.exe                 x86   1           DESKTOP-KOSR2NO\boku 
beacon> spawn cmd.exe 8264
[*] SPAWN (@0xBoku|github.com/boku7)
Opened handle 0x634 to process 8264(PID)
Success! Spawned process: cmd.exe | PID: 5384 | PPID: 8264

• PPID Spoofing
• Funzionalità blockdll "simile" a Cobalt Strike

Compila con x64 MinGW:

x86_64-w64-mingw32-gcc -c spawn.x64.c -o spawn.x64.o

Esegui dalla console Beacon di Cobalt Strike

• Dopo la compilazione, importa lo script spawn.cna nel Gestore Script di Cobalt Strike

beacon> spawn /path/to/exe PPID /local/path/to/shellcode.bin

Lista delle cose da fare

• Script Agressor per una migliore esperienza utente
  
• PPID spoofing per una migliore OPSEC della relazione processo padre-figlio
  
  • Qui possiamo vedere il nostro processo cmd.exe generato con PPID come OneDrive.exe
• implementa la funzionalità blockdll di Cobalt Strike per impedire il caricamento di DLL non firmate da Microsoft nella memoria dei processi generati
  
  • Vediamo la relazione processo padre-figlio e che il nostro processo generato è stato creato con Signatures restricted (Microsoft only)
  • Signatures restricted (Microsoft only) fa sì che le DLL non firmate da Microsoft non possano essere caricate nel nostro processo generato
• Non mandare in crash il processo beacon quando il file PE non esiste
  
  • Non crasha più in caso di fallimento della creazione del processo!
• Restituisci il PID alla console di Cobalt Strike quando viene generato il nuovo processo
  

Perché ho costruito questo?

1. Per imparare di più sui BOF di Cobalt Strike

2. Voglio flessibilità nella scelta dei miei processi sacrificali.

• Generare lo stesso processo per ogni fork-and-run mi sembra una OPSEC scadente/prevedibile.
• Probabilmente esistono già metodi per questo o sono già integrati in CS. In ogni caso, volevo costruire il mio.

3. Ho molte idee interessanti per BOF che voglio costruire su questo.

Crediti / Riferimenti

PPID Spoofing e funzionalità blockDll

• Crediti/ringraziamenti a: Adam Chester @_xpn_ + @SEKTOR7net + Raphael Mudge
• Grazie per l'incredibile lavoro che avete contribuito. Non sarei in grado di pubblicare questo senza i vostri blog, video e contenuti fantastici!
• Riferimenti principali per PPID Spoofing e blockdll
  • https://blog.xpnsec.com/protecting-your-malware/
  • https://blog.cobaltstrike.com/2021/01/13/pushing-back-on-userland-hooks-with-cobalt-strike/
  • https://institute.sektor7.net/ (Courses)

Raphael Mudge - Beacon Object Files - Luser Demo

• https://www.youtube.com/watch?v=gfYswA_Ronw

Cobalt Strike - Beacon Object Files

• https://www.cobaltstrike.com/help-beacon-object-files

Riferimenti codice BOF

anthemtotheego/InlineExecute-Assembly

• https://github.com/anthemtotheego/InlineExecute-Assembly/blob/main/inlineExecuteAssembly/inlineExecute-Assembly.cna

ajpc500/BOFs

• https://github.com/ajpc500/BOFs/

trustedsec/CS-Situational-Awareness-BOF

• https://github.com/trustedsec/CS-Situational-Awareness-BOF

Corso Sektor7 Malware Dev Essentials - ho imparato come eseguire la tecnica di iniezione early bird

• https://institute.sektor7.net/red-team-operator-malware-development-essentials